Recursos Caros em API: usar nonce ou idempotência?

Acredito que nonce não tenha nenhuma relação com idempotência. São duas estratégias distinhas para soluções distinhas. O nonce regenera sempre, a idempotência não. Vamos a um exemplo para elucidar:

Em um carrinho de compras, você pode utilizar o nonce para garantir que o recebimento dos dados do carrinho de compra tenha a origem exata naquele formulário. Isso impede o abuso de uma requisição ou que uma requisição seja feita fora do navegador. Sem o nonce a pessoa não envia o formulário.

Logo, assim que a pessoa entra no carrinho é atribuido um código ao formulário e quando enviado esse código é validado para garantir que o não houve mudanças no envio e a origem é atestada. Por tanto, nonce é um recurso de segurança, com ele, por exemplo, você pode prevenir "Man-in-the-middle attack" ou que aquela sessão do carrinho e aquele envio seja roubada ou emulados.

Sempre que você atualizar a página, o nonce também deve ser alterado, garantindo a unicidade daquele envio quanto a segurança.

Já a idempotência não é um recurso de segurança, mas de integridade. Ela vai garantir que não haja duplicidade dos dados. Ainda no carrinho de compras você quer que, independente de quantas vezes a pessoa clique no botão comprar, a compra só seja processada uma única vez (em alguns casos, mesmo que ela atualize a página). Pouco tem haver com segurança, pois a ideia da idempotência é ter a mesma resposta sempre, mesmo que os valores no formulário mudem (nesse caso, deve-se atualizar a chave de idempotência também).

Então é mais uma escolha sobre utilizar as duas técnicas, mas não uma escolha sobre utilizar uma OU outra, pois elas tem propósitos totalmente diferentes.

Respondendo a pergunta agora, você não avalia do ponto de vista do sistema, mas do usuário.

Se aquele recurso caro é sensível e não pode, sob hipótese alguma, ter duplicação do ponto de vista do usuário (por exemplo, pagar mais de uma vez a mesma compra): idempotência deve ser utilizada.

Se aquele recurso caro não pode ser abusado com requisições em excesso: nonce e só adotaria TAMBÉM idempotência quando não pudesse haver duplicidade do ponto de vista do usuário. Mas além do nonce tem outras estratégias melhores para uma API como Rate-Limit, CORS.

Mas não confunda, nonce não "ajuda a evitar ataques de repetição" (quer dizer, ajuda) mas não é o propósito dele.