Warlock2

Любой HTTP-запрос может быть перехвачен (прослушан). Хоть это REST, хоть RPC. Если страшно гонять токен между сервером и клиентом (кука или query параметр), то нужно все шифровать, например использовать HTTPS.

16 инструментов для создания прототипов:
http://habrahabr.ru/company/aiken/blog/129653/