在门卫的某些操作中验证客户端应用程序而不是access_token？

Question

我正在使用Rails JSON API + Doorkeeper，因此我想让我的具有client_id和client_secrete的移动应用程序请求POST /用户创建用户而无需使用访问令牌进行验证。目前，我直接在rails控制台中创建用户，移动应用程序使用“使用资源所有者密码凭据”流来获取令牌以通过API访问受保护资源。在下面的代码中，移动应用程序必须提供访问令牌才能调用索引操作：

class UsersController < ApplicationController
  doorkeeper_for :all, except: :create

  def index
    ...
  end

  def create
  end
end

目前，create action不会验证任何内容，所以无论如何都要告诉door_keeper在允许调用特定操作之前验证client_id和client_secret？我不希望它公开。