Login con Token Header en lugar de Variables de sesión

[hamramr]

Primero de todo muchas gracias hhs.

Siento haber tardado en responder pero es que me estoy centrando todavía e intentando aclarar con lo que tengo que hacer.

Por lo visto, están desarrollando una app móvil que tiene que llamar a una API REST que estoy haciendo yo. La idea es que les tengo que facilitar unas urls y ellos llamarán a estas y con un GET o un POST y con unos encabezados.

De momento me estoy haciendo con las GET. El problema es que las POST no las he acabado de entender del todo de momento.

He empezado a usar el FOSRestBundle y me está yendo muy bien, me ayuda mucho.

Pero el problema que tengo ahora creo que es de conceptos.

Por ejemplo, respecto al login, ellos llamarán a una url en la que pasan un usuario y su password. Esto lo harán por POST.

Entiendo que en este momento, yo tendré que buscar en la base de datos dicho usuario y contraseña y si existe, retornar una url de acceso al recurso y un TOKEN.

Dicho Token lo irán enviando en los encabezados de las diferentes llamadas para identificar al usuario con el que estamos trabajando.

Esta es la teoría, y creo que la entiendo.

La práctica es donde me surgen dudas:
1. Dicho Token, deberá estar en la tabla de usuarios imagino ¿no?
2. ¿Será siempre el mismo? ¿O genero uno cada vez que hagan login?
3. ¿Cómo genero el Token?
4. Cuando llamen a la url de login por POST ¿Cómo devuelvo el token? Quiero decir, que entiendo que la url de respuesta que mandaré será algo del tipo: http://url.com/usuario/1, pero ¿y el token? ¿lo envío como una respuesta normal como cuando se envían los resultados de un GET?

Se que son muchas dudas y cualquier aporte será muy bienvenido.

Muchas gracias por todo y que tengáis un lunes genial.
Un saludo.