[RuslanVega]

Добрый день.
Что имею:
Есть свой сайт на котором реализован механизм регистрации и аутентификации и доступа к личным данным с использованием (JSON RPC или REST).
При регистрации на сайте пользователь подтверждает СМСкой (предварительно направленной ему моей системой) свой номер телефона, и система создает в cockie пользователя ключ (токен со сроком жизни 5 мин). При каждом запросе, к личному ресурсу мой backend сервер проверяет есть ли к токену (который передал клиент) сессия в базе данных? Если ее нет, то скрытый ресурс не показываем. Если сессия по предоставленному токену из cockie нашлась в БД, то отображаем страничку с персональным контентом.

Когда срок жизни токена в сессии истекает, токен на стороне клиента удаляется, а так же происходит удаление сессии на стороне сервера. Повторная аутентификация вновь создает сессию на стороне сервера и устанавливает токен в cockie пользователя.


Теперь вопрос, как в delphi 10 реализовать доступ к личному кабинету для мобильного приложения (android + ios)? Раз уж есть свой API на стороне сервера, то хотелось бы использовать его и для мобильного приложения.

Как это представляю в голове:
1. Аналогично сайту нужно в мобильном приложении хранить выданный токен (где он храниться пока не понятно) устновленный сервером после аутентификации. Где хранить его в мобильном приложении пока не представляю (прошу подсказать)!
2. Аутентификацию в мобильном приложении можно сделать вводом логина и пароля, но в силу того что сейчас почти везде используется pin для входа в мобильное приложение, то вопрос: как будет выглядеть блок схема аутентификации на моем сервере по средству ввода PIN кода в мобильном приложении?
3. Далее, мобильное приложение запрашивает данные методом GET (какие компоненты использовать прошу подсказать) в ответ от сервера получаю данные в виде JSON, и я их просто вывожу на форму приложения.

Все ли верное понимаю по реализации?

Как делают аутентификацию при помощи ввода pin кода?
Есть подозрение, что Pin не производит аутентификацию приложения на моем сервере, он просто открывает ГЛАВНУЮ форму. Затем срабатывает что то вроде mainform.onshow где и происходит механизм запрашивающий токен по логину и паролю. Получается что логин и пароль тогда хранятся в мобильном приложении?
Далее при каждом запросе на сервер к запросу добавляем токен (как это делается?) в ответ получаем JSON.
Если сессия истекла, то закрываем приложение и просим вновь ввести пин.

Буду признателен за объяснение механизма реализации.

Заранее премного благодарен всем откликнувшимся.
С уваженим и наилучшими пожеланиями Руслан.