Поскольку у App Engine сильные ограничения по числу java-библиотек, которые можно использовать (скажем, JAXB в данный момент нельзя использовать вообще никак), то я принял решение сделать свое решение такого плана:
1) Авторизовывать клиента один раз (в первый раз) по HTTPS, логин и пароль передавать в URL запросе. Выдавать клиенту sessionId.
2) Далее выдавать данные по корректному sessionId.
3) Всем sessionId дать время жизни.
Конечно, такое решение не убережет от кражи данных, если успеть украсть sessionId, но по всем остальным характеристикам это решение выглядит вполне нормально.
Кто что думает и как считает?
Не изобретаю ли уже готовый весипед? И если да, то скажите где его найти
.