Недавно с ним боролся, касательно iframe приложений: корректный (с точки зрения вк способ) это jsonp. Дальше немного кода и ваш сервер получит все, что нужно через клиента.
Авторизация сервера приложений — чуть-чуть не то, вы сможете получить весьма ограниченные возможности воздействия на пользователей уже использующих ваше приложение (послать им сообщение, оповещение, посчитать кол-во).
Чтобы сервер мог достучаться до конкретного пользователя нужно регестрировать стэнд-элоун приложение и авторизовать пользователя через свой сервер, (применяя мощное колдунство по обходу защиты вконтактика). Данный способ хоть и дает возможность управлять практически всеми доступными пользователя, но является некорректным. Использовать его надо вдумчиво и без фанатизма — иначе вк от вас защитится, заблокировав все ваши приложения, а может и вас.
