私は現在、観光ウェブアプリのHTTPJSONAPIで作業しています。Webアプリはサードパーティ企業によって開発され、ブラウザ内でAPIを使用します。
そのため、APIには、サードパーティのWebアプリが使用できる何らかの認証が必要です。私はOAuthについて少し調査してきましたが、これにより、アプリケーション全体の承認ではなく、ユーザー全体のソリューションが得られます。
Webアプリは（Ajaxを使用して）ブラウザー内でAPIを使用するため、ユーザーブラウザーでAPIを使用するためにクレデンシャルを配置する必要があるのではないかと心配しています。
別の解決策は、APIのクレデンシャルをサーバー側に配置することですが、これは私に依存しません。