Публичный API на большей части моего сайта, который действительно ограничивает возможности и функции, выполняет аутентификацию, а затем переходит к тому же внутреннему коду, который используется остальными. Намного проще поддерживать целостность данных, но сделать версию общедоступного API и отказаться от функций, если это необходимо.