Web services 如何设置对web服务的安全商业许可API访问？

我需要通过AJAX/RESTAPI为SOA应用程序提供服务。该服务需要出售给客户，这些客户将能够在他们的网站上托管一个JS，让他们的用户与我们的Web服务进行通信

需要：

客户只应在其页面中添加一行代码，而不应添加服务器端代码 脚本应该验证并下载API js代码，以便根据客户购买的许可选项与启用的服务通信 整个路径应该可以工作，而不会让客户的用户看到登录或证书 我找不到一个模式来同时满足之前的要求。你有什么建议吗？ 我考虑过各种选择，但至少我需要在客户的机器上安装服务器端代码，但我做不到。他们有自己的第三方主机，性质各异

非常感谢， 乔瓦尼