Простой бэк может сделать кто угодно, тем более что в апи можно подставить и статические данные (без БД). Но я так думаю фронтендер не обязан знать как сделать это высокопроизводительным.

вот простое api, что тут уметь?))

var express = require('express');
var app = express();

app.get('/hi', function (req, res) {
  res.json({code:0, message: 'Hello!'});
});

app.listen(3000, function () {
  console.log('Example app listening on port 3000!');
});

get mysite.com:3000/hi
выдаст {code:0, message: 'Hello!'}

Может с сервера присылать соль, а клиент присылает не код, а хэш от код + соль. И сервер соответсвенно так же генерит и сверяет. Таким образом запрос авторизации клиента будет всегда разный и код не перехватить.

Добавлять или заголовок к каждому запросу или get-параметр.