ВКонтакте API

Правильно ли я понимаю, что единственный способ работы из JavaScript API с бэкендом (базой) связан с передачей viewer_id открытым текстом и соответственно любой пользователь может притвориться любым? Для флэш приложений это не так?

Для аутентификации на сервере используется auth_key и защищенный ключ. Почитай тут: http://vkontakte.ru/developers.php?id=27971896&s=1