如何用用户凭证为移动应用程序和后端服务器通信签署HTTP请求

我们有一个非常标准的场景——一个移动应用程序通过HTTP POST和GET与后端PHP服务器API通信。用户必须登录在移动应用程序，以便做任何事情，所以每一个请求从移动应用程序到我们的服务器需要与用户凭据签署。登录成功后，用户名和密码保存在手机应用内部设置中，无需再次输入。

以前，后端PHP web服务是由其他人开发的，但现在我们需要自己实现它。回顾以前的项目，它们需要为每个请求传递用户凭据。我在下面发布了几个请求示例。所有数据插入/更新web服务都使用POST，但是userid和pwd与其他数据一起传递到body内部(Save Car)。所有数据选择服务都通过GET参数传递userid及其密码。

这是最好的和安全的方式吗?也许我们应该将sha1(userid+password=salt)放入HTTP授权头中，并将userid留在body中(因为我们需要从服务器中的数据库中选择用户通道)?或者我们可以在移动应用中使用OAuth 2来签名HTTP请求(生成userid+pass+…)到授权头)，并使用OAuth 2后端生成相同的哈希，并检查它是否相同?我找不到任何简单的方法来使用OAuth 2 for PHP只是为了签名请求，所以任何帮助都会很感激:)此外，关于哪些库用于iOS/Android开发的相关信息也会很感激。

登录

HTTP method: POST
URL: http://mybackend.com/login
BODY:
 { "uid" : 123,
   "pwd" : "3CB3E2E6AECA48C41000119767B561F5E9E66229" // contains sha1(pass+salt)
 }

GET CAR LIST

HTTP method: GET
URL: http://mybackend.com/getCars?uid=123&pwd=3CB3E2E6AECA48C41000119767B561F5E9E66229

拯救汽车

HTTP method: POST
URL: http://mybackend.com/saveCar
BODY:
  { "uid" : 123,
    "pwd" : "3CB3E2E6AECA48C41000119767B561F5E9E66229",
    "car" : 
    { "id" : 111,
      "name": "My car"
    }
 }