Ho implementato una procedura di accesso e sessione per un'applicazione web e mi chiedo se ciò che ho implementato sia abbastanza sicuro. L'autenticazione è basata sulla password di accesso su https. Se l'accesso è riuscito, il server restituisce un token generato casualmente che il server archivia e invia con qualsiasi richiesta di post https effettuata. Il server verifica che il token ricevuto sia quello generato per quell'ID utente. Il token ha un timeout. Questa procedura è abbastanza sicura? che debolezze ha?
Aggiorna il problema è che sembra che le sessioni non siano supportate da applicazioni mobili (ad esempio Android, iOS) e ho dovuto sviluppare il mio tipo di sessioni. Tuttavia, ho un po 'paura che non sia abbastanza sicuro.