如何设计不受信任的第三方

Question

背景

我需要设计一个WebService REST API。此Web服务将从网页和一些移动应用程序（Android和iOS）中使用。我会打电话给他们所有'应用程序'。应用程序将由我们公司以外的第三方开发。移动应用程序需要登录用户才能显示内容，因此我更容易处理我的Web服务的内容授权。

网页有点棘手，因为它必须为非登录用户提供一些功能（例如：列出最新产品，显示产品详细信息和搜索产品），所以即使是非登录用户：

• 必须能够从我的网络服务中请求一些数据（主要是/ products和/ products / {id}）。
• 必须能够使用/搜索端点。

真正的问题

我将使用OAuth2来处理授权。在移动应用上，这不是问题，在获得授权之前，他们将无法访问任何内容，因此一旦获得授权，所有API都将正常运行。

但我完全迷失了如何处理与网络应用程序的连接。

• 我是否应该保留一些未经授权的URL以允许未登录用户使用网络发送内容？
• 我是否应该创建一个具有更高API使用率限制的特殊用户“anonimous”，并告诉Web应用程序在用户登录之前授权为“anonimous”？