@sitnik_ru

Добавить рейт-лимиты.

Не позволять рекурсивные запросы на сам прокси.

Подумать, как обрабатывать 3xx статусы - если их просто проксировать, они будут редиректить клиента мимо прокси.

Давать понять, что запрос пришел через прокси - что-то вроде x-forwarded-for, плюс возможно ещё какой-то хедер, с контактными название прокси и контактным email - то есть, что-то вроде user-agent, но для самого прокси.

Если для URL нет запрещающих cors (можно проверить head-запросом), то можно вернуть просто редирект на этот url, а не проксировать через себя весь ответ.