Нужно ли защищать REST API с поддержкой только GET для SPA?

Question

У меня есть JavaScript SPA, который использует внутренний REST API, созданный с помощью Django (Django Rest Framework).Это небольшой академический проект, который может привлечь лишь несколько сотен пользователей на регулярной основе.Наш первоначальный проект предполагал, что пользователи могут захотеть сохранить данные, но недавние консультации с потенциальными клиентами заставили нас усомниться в том, нужно ли нам включать эту функцию.Таким образом, это полностью исключило бы необходимость запросов POST к бэкэнд-API, оставив только GET.Эти GET (через axios) содержат только параметры пути, без параметров запроса и возвращают небольшие полезные нагрузки JSON, используемые для визуализации компонентов SVG в приложении (эти данные предназначены только для чтения, статические данные, уже хранящиеся в базе данных базы данных).

Предполагаемая потребность в загрузке пользователей побудила нас также добавить функции входа в систему / выхода из системы и управления учетной записью.Мы даже начали смотреть на интеграцию Auth0.Но если мы полностью удалим пользовательскую загрузку, нужно ли нам таким образом защищать конечные точки API?

Answer 1

Из того, что дано в ОП, ответ: Нет , вам не нужна аутентификация.

Независимо от используемого HTTP-глагола, просто спросите себя, какую функциональность вы предоставляете черезваш REST API, по крайней мере, вы хотите узнать, кто чем занимался, используя ваши API?если вам не нужна аутентификация

По существу,

1. Хотите ли вы ограничить доступ к каким-либо API?
2. Хотите ли вы привязать действие к любомуперсона?
3. Вы хотите провести аудит (кто что сделал когда?)

Если ответом на все эти 3 является нет , вам не нужна аутентификация.