А если вернёся к первоначальному вопросу. Почему авторизация основанная на куках это плохо?
Ну хорошо, если делать открытое апи какой подход лучше выбрать?