问iPhone and服务身份验证和访问令牌

EN

我有一个iPhone/Android本地应用程序。它使用PHP服务(RESTful)。如何为我的web服务添加安全的身份验证系统？有些人建议使用访问令牌。如何生成访问令牌以及如何管理它们？我的理解如下：

1)在应用程序中，请求web服务对用户名和密码进行身份验证。

2)在web服务(服务器上)中，创建一个唯一且安全的随机密钥，将其存储为MySQL数据库中的访问令牌，并将其返回到web服务请求。

3)在应用程序中存储访问令牌，并将其与安全的web服务请求一起发送。

4)安全web服务在完成请求之前检查请求是否包含有效的访问令牌。

以上步骤正确吗？如果是，那么如何使访问令牌过期？我应该使用cron作业(计划的任务)吗？请提出更好的办法。任何帮助都将不胜感激。