Безопасный вызов методов

Стоит упомянуть еще социальную инженерию, которая более высокоурвневая атака.

Ну к примеру, вы получаете user.current, по его мылу находите _у себя_ пользователя на сайте и авторизуете в приложении. Теперь представьте, что каким-то образом зарегистрировали портал с мылом вашего пользователя сайта (к примеру есть админ, который не зареган в Б24). В данном случае ваше приложение авторизует внешнего пользователя как администратора. Поэтому, к полученному e-mail надо все равно относиться с опаской и проверять дополнительные поля уже собственными методами проверки.