Security 通过API创建用户的最佳实践是什么？

我正在构建一个使用用户和Odoo后端的移动应用程序。 用户应该能够通过此移动应用创建用户帐户。 我可以连接API并创建用户，但我担心安全问题

如果用户已经拥有帐户，则应使用其凭据（登录名和密码）连接到后端。如果没有，他应该能够创建一个帐户

目前，用户可以创建新用户，我可以通过API使用“全局”用户创建新用户，我使用该用户连接到后端并创建真正的用户帐户。连接到后端后，他将获得一个会话id。然后他可以创建一个新用户。之后，新用户可以使用自己的凭据登录并使用其他服务

在这种情况下，最佳做法是什么

我是否应该创建一个令牌或其他东西，以确保通过设备访问应用程序，或避免可能的黑客攻击，例如，通过发现数据库名称、服务器和密码，通过伪造应用程序的使用，创建一群假用户？我应该实现什么来避免这个安全问题

我真的受到威胁了吗？我真的应该担心还是已经没事了

这很可能是一个软件架构问题。感谢您的帮助。

---

谢谢。

您可以为要激活的帐户添加电子邮件验证，或者“我不是机器人验证码”