Ребят. Есть API эндпоинты, по которым другая команда, должна конектится, и изменять профили пользователей, и получать список пользователей.
На сколько это правильно и можно ли делать их открытыми Allowany. Какая вероятность того, что кто-то может пропалить урлы (хотя web интерфейса не будет на REST).
система безопасности, которая построена на допущении о том, что условный хакер чего-то не узнает, не увидит, не догадается, обречена на провал