django - 如何将聊天服务的访问权限仅限于已注册的网站

我正在制作聊天服务（类似于 Zendesk），并且必须注册一个网站才能使用该服务。网站所有者将在 .html 文件中放置一个框架，其余的由我决定。

问题

任何人都可以立即开始使用该服务（通过阅读请求并在 Postman 中复制它们）。我想要一种方法来限制仅访问那些在会话启动时注册使用该服务的网站或从该会话发送的消息。

失败的解决方案（给出我想要做什么的想法）

一个愚蠢的想法是使用JavaScript读取和发送网站 URL，并检查它是否存在于数据库中，但这很容易被伪造。
我还尝试为每个注册的网站生成唯一的令牌，但令牌是必须与验证请求一起发送的东西，而且因为它是公众可以看到的东西（令牌放在框架中），所以令牌确实没有意义。（也许我不明白令牌是如何工作的）

在这一点上，似乎这是不可避免的，有什么想法吗？

（后端是用Django 3.1编写的，我的数据库表看起来像这样，如果有帮助 - 忽略细节，只是一个概述）

标签： djangoauthenticationtokenchat