Существует более одной архитектуры, которую вы можете реализовать, и вам нужно выбирать, учитывая множество факторов, таких как производительность, количество пользователей, архитектура сервера ...
По сути, вы должны использовать https, а не http, хранить хешированный пароль (MD5, SHA, ecc.) И всегда проверять, равен ли хешированный пароль сохраненному хешированному паролю.
Вы также можете реализовать «сеанс» с использованием токена (необходимо создать своего рода серверную часть API, а затем использовать его на стороне клиента) или передавать имя пользователя и пароль при каждом вызове веб-службы (веб-служба должна проверять учетные данные каждый раз). время называется).
Еще одно «быстрое» (в любом случае, не очень быстрое) решение - реализовать (как сервер-клиент) стандартный протокол, такой как (мой любимый) oAuth 2. Он используется в Твиттере и Facebook, вы можете узнать больше здесь: http://oauth.net/2/