أعجبني أن مفتاح API سيتم تحديده صراحةً على أنه “مسموح به في GET” على مستوى المستخدم.
بشكل عام، يمكن أن تكون الخيارات مفتوحة لأي طلبات GET. القاعدة التي أعجبني هي، عند العمل في هذا الوضع:
- مفتاح API الخاص بالمستخدم مقيد بنسبة 100% بإجراء تحكم GET واحد محدد
- يُشار إلى مفتاح API الخاص بالمستخدم على أنه مسموح به في معاملات استعلام GET.
هذا يحد من تأثير أي تسرب هنا عبر وكيل، لأن المفتاح لن يُعاد استخدامه أبدًا.
أعتقد أن {get: 'list#new'} , {get: 'list#latest'} سيعمل أيضًا.