Надо проверить на всех вариантах тела запроса. Проверить не валится ли обработчик запроса на неожиданных данных, всяком мусоре в строках, хотя бы формально проверить почтовый адрес, а лучше сделать проверку с отправкой на почту кода и форму ввода проверочного кода и метод обработки (может быть как POST так и GET). Сделать нормальные ответы, в том числе и для ошибок, особенно 400 Bad Request, с описанием , что нет так. Это если вашим api будет пользоваться внешний разработчик.
Без проверки почты рискуете собрать кучу мусора, а юзеры потеряют возможность восстановления доступа к вашему сервису.
