Имею: - Rest API на Lumen
- Соединение по httpS
- Basic авторизацию: Отправляется в хедаре login+password, в ответ приходит JWT c acsess_token (для каждого запроса с малым временем жизни) и refresh_token (для получения нового acsess_token)
Необходимо:
Реализовать архитектуру валидации запроса. Т.е. чтобы знать что запрос пришел именно от "своего" клиента (под клиентом я подразумеваю мобильное приложение). Чтобы ручками в браузере школьники не могли посылать запросы) Получается запрос от клиента должен быть идетицифирован по двум пунктам:
- Запрос пришел от валидного клиента
- Запрос пришел от валидного пользователя
Можно было...:
Идея была сделать два заголовка в хедаре, и передавать в них два токена: один выдан клиенту, второй выдан пользователю. Но два нельзя, а в url передавать - костыль.
UPD: Можно и два заголовка, распарсить их не проблема. Но нормальное ли это решение? 
Итог:
Как сделать без костылей валидацию клиента?
