Безопасная веб разработка - это по сути
CORS
,
CSP
, защита от
XSS
, защита от
CSRF
и хеширование паролей
UPD:
Вадим, Если вы не хотите чтобы к вам на API прилетали данные, которые вы не ожидаете - используйте валидацию с whitelist'ингом. Если вам нужно ограничить места, откуда может прилететь запрос - сконфигурируйте CORS.
Если вы хотите ограничить количество запросов на эндпоинт в течении какого-то количества времени с одного IP - Юзайте RateLimit. Про правильное построение авторизации тоже не совсем понятно. Что для вас правильнее: JWT или OAuth2? Все стратегии уже давно придуманы и сделать что-то неправильно будет тоже сложно.
Нужно безопасно предавать данные в сети - HTTPS и SSL.
Хотите закрыть все порты, кроме 443? - юзайте фаервол.
Нет необходимости изучать «принципы безопасной веб разработки», вы когда что-то писать начнёте, вы сразу увидите все слабые места и начнёте искать пути решения уже конкретно под вашу ситуацию. А так, свой
fetch('https://api.com')
вы безопаснее не сделаете.