Entonces, hay algunas cosas que me confunden con la conexión de una interfaz a una parte de back-end de un sitio web, y parece que no puedo encontrar nada en línea al respecto.

• Supongamos que tiene una API de back-end, que si tuviera un punto final que elimina a un usuario, porque si quieren que se elimine su cuenta, ¿qué impide que un atacante simplemente haga ping al punto final con una ID de usuario y luego eliminará al usuario? Escuché que puede usar como una contraseña o algo similar para detener ataques falsos, pero ¿qué impide que alguien simplemente busque en el código fuente para encontrar el código que se envía junto con la solicitud? ¿Utiliza simplemente una identificación de usuario que sería difícil de adivinar? Pero si es así, ¿por qué no podrían simplemente usar ID de usuario de fuerza bruta?

• ¿Debe ejecutarse el backend en el mismo dominio que el frontend? ¿Debería usar solo https://example.com:3000 , o debería usar la ip del servidor y enviar datos a https://000.000.000.00:3000 ?

Cualquier ayuda sería apreciada. No sé mucho sobre el desarrollo de pila completa ya que recién ahora estoy empezando a aprender, sin embargo, lo que dice la gente parece ser una forma realmente insegura de hacerlo.