保护请求的最佳方式（来自Salesforce服务器）

Question

此问题不一定仅限于Salesforce。

我在公司服务器上有一个基于订单信息生成文档的Web服务。我在Salesforce中创建了页面，以便在查询字符串中动态创建包含必要订单信息的链接。

实施例：https://www.mysite.com/documents?orderid=123&documentid=1

我的Web服务然后从Salesforce API（名字和姓氏，邮寄地址等）请求订单的详细信息，并返回填充的文档。

我正在考虑两种方法来确保这一点：

1. 将我的网络服务中的Salesforce IP Range和Salesforce中公司的IP列入白名单。
2. 在初始查询字符串中填充所有必要信息。示例：https://www.mysite.com/documents?documentid=1&firstname=John&lastname=Smith&address=123%20Main

哪种方式“最好”？我应该两个都做吗？有更好的方法吗？