保护公共Java Spring-Boot Web应用程序的最佳实践

Question

我有一个使用Spring Boot创建的公共Java Web应用程序。我已经准备好将其发布到生产环境中，并希望获得一些确保其尽可能安全的提示。

基本上，这是一个搜索引擎，在其后端使用Apache Lucene，在前端使用很多JavaScript。我正在计划将其部署到Amazon Web Services，同时将本地计算机用作备份/测试环境。

用户可以搜索和浏览数据。前端使用Javascript XMLHttpRequest调用REST端点，以查询后端的内容，然后将其显示给用户。

该应用程序完全公开，目前还没有用户身份验证。

该应用程序还将用户请求持久保存到数据库中以进行跟踪。

这是到目前为止我为保护它所做的事情：

• 确保REST端点完全验证请求中提供给它们的参数是否有效。

我打算做什么：

• 使用HTTPS。
• 验证任何放置请求或url请求的大小是否合理。

我正在考虑添加的内容：

• 限制用户在给定时间段内可以发出的请求数。 （不确定Spring-Boot是否已经具有执行此操作的功能，或者我应该自己实现此功能）
• 使用某种API密钥方案来确保仅由前端访问我的端点。 （不知道这是否有效，尚不知道如何做）。

还有其他我应该考虑做的事情吗？我上面列出的内容有意义吗？

非常感谢您提出任何提示。