Тут все не сложно.
1) У каждого приложения есть guid.
2) Вы делаете авторизацию в своем приложении (например, по email+password) и фиксируете в базе авторизацию для этого приложения (guid), генерируя произвольный токен (любой ключ, чаще строковый), например md5 из email+time().
3) Обращаясь к закрытым частям своего апи вы передаете guid+token, а ваше приложение проверяет, если токен для этого guid существует (и не закрыт, т.к. вы можете поставить ему срок жизни, либо закрывать при logout пользователя из приложения), тогда выдавать ответ, а если закрыт, то отправлять на авторизацию.
Это очень общий механизм, просто чтобы объяснить схему работы. На деле кто-то усложняет, кто-то что-то меняет, кто-то оставляет как есть. Например, вместо того, чтобы писать свою авторизацию, можно перепилить oauth . Хотя, свою написать, не представляет особых сложностей ;)