阅读完之后，我发现尝试保护一个可公开访问的 API（应用程序/网站使用的不需要用户登录的 API）似乎是徒劳的，例如将密钥存储在应用程序中，用户……

阅读完之后，我发现尝试保护一个可公开访问的 API（应用程序/网站使用的不需要用户登录的 API）似乎是徒劳的，例如将密钥存储在应用程序中，用户可以对应用程序进行逆向工程。

我的问题是如何尽可能地保护并减缓对公共可访问 API 的滥用......

限速？检查请求来源（尽管可能被欺骗）....还有其他吗？

另外，如果网站是 SSR，那么是否可以仅通过服务器的 IP 进行保护？