这是使用api密钥进行http基本身份验证的合理方法吗?

我刚刚开始在rails应用程序上添加rest api,由于我只想公开几个控制器/操作,所以我向applicationcontroller添加了一个方法:

  def http_basic_authentication
    if request.format == Mime::XML
      authenticate_or_request_with_http_basic do |username, api_key|
        self.current_user = User.find(:first, :from => 'users, accounts', :conditions => ["accounts.id = users.account_id AND accounts.api_key = ?", api_key])
      end
    end
  end

然后,我可以在我想要暴露的个人控制器/动作上使用一个前置过滤器。是否有人有任何反馈、代码审查或更好的方法?