如何保护公共API免遭滥用？

Question

鉴于公共API会触发对用户的OTP验证，是否有办法防止此类API被滥用/垃圾邮件？

此API是公开的，并且有商业原因，因此在公共方面提供。 API是使用Java Spring MVC开发的，并且启用了CORS以允许来自特定域。然而，仅凭这一点可能无法阻止垃圾邮件的发布。

1. 我是否需要使用SessionID保护API？ （但是也可以很容易地从浏览器中获取sessionId以获取垃圾邮件）
2. 是否有一种万无一失的方法来检测传入请求是否来自特定域并且只是AJAX请求？这可能会限制通话。 （排除脚本）
   1. 我是否需要使用验证码类型服务？

这（防止公共API垃圾邮件）似乎是一种常见的情况。是否有最佳做法来清除垃圾邮件？