如何保护rest api暴露给不同的客户

Question

所以我有一个REST API，用于其他两个应用程序 - SPA应用程序和移动应用程序。我正在使用CORS，对允许的域没有任何限制（现在）但是当所有内容都投入生产时我将不得不设置一些限制。看起来我应该只允许来自SPA应用程序的流量，但移动应用程序呢？是否只通过https设置组件和api之间的通信？两者 - 水疗应用和移动应用都可以执行POST，PUT，PATCH和DELETE操作。