API URL 설계와 서비스 접근제어

아래와 같이 http method는 다르지만 URL이 같은 경우,

(조회 : GET /members, 등록 : POST /members)

서비스 접근제어는 보통 URL기반으로 처리하므로 등록권한을 따로 분리할 수 없고,

이럴 경우는 컨트롤 URL을 사용할 수 밖에 없을 것 같은데요.

(등록: POST /members/regist)

그렇다면 실무에서는 운영 중에 권한이 생기거나 변경될 수도 있으니,

처음부터 컨트롤 URL을 적극 사용하여 API URL을 설계하는 게 맞는 것 같은데,

(--> 조회 : GET /members/search, 등록 : POST /members/regist)

접근제어 처리 관점에서 API URL 설계는 어떻게 하는게 효율적일까요?