Web 移动应用程序上受CORS保护的API

我们有一个API，我们喜欢限制访问我们的域。我们有CSRF和CORS。但同样的api也需要从移动应用程序访问，而移动应用程序显然不是浏览器环境。我们可以通过对称密钥强制执行一些基于令牌的身份验证，但是由于我们有一个受限的CORS策略，所以请求在飞行前被阻止。您是如何安全地处理此问题的？我觉得允许一切起源都是不可能的。有什么想法吗