Обычно для взаимодействия с сервером нужен API на стороне сервера, никто html не парсит. Передавать токен - ок. Передавать токен не по http
s - не ок. Чаще в современном мире работают с json, а не xml.
Для авторизации можно сделать OAuth, или передавать логин-пароль(опять же https).
отправляет запрос к бд на выборку пользователя с такими логином и паролем,
Не ок. Пароль в открытом виде держать нельзя, нужно держать хэш с индивидуальной солью.