我结束了基于我在网上找到了一些建议滚动我自己的解决方案（见结尾引用链接）。

I ended up rolling my own solution based on a few suggestions that I found on the web (see reference links at the end).

1. 的iOS检查它是否有一个的auth_token。如果没有，继续执行步骤2，否则继续步骤4。


2. 的iOS通过发送一个特殊的签名，只有我的iOS应用程序和服务器知道如何生成请求一个AUTH_TOKEN。


3. WEB验证的特殊签名和创建一个保存在数据库中，并发送回iOS应用了独特的auth_token。


4. 通过iOS版（又一个只有我的iOS和服务器知道如何生成）发送的auth_token和生成的签名请求数据。


5. WEB验证该AUTH_TOKEN在数据库中存在。然后生成一个auth_signature并验证请求从我的iOS应用程序来的。


6. WEB的数据和新生成的auth_token响应。


7. WEB删除从DB AUTH_TOKEN previous。


8. 的iOS本地保存新的auth_token并使用数据。


9. 重复步骤4-8;如果响应为401未经授权，重新启动在步骤1。

这GitHub的要点通过@keighl就是让我开始了，到目前为止，我发现***的例子：
https://gist.github.com/4336694

References:

This GitHub Gist by @keighl is what started me off, by far the best example that I found: https://gist.github.com/4336694

Railscast：保护一个API：
http://railscasts.com/episodes/352-securing-an-api

Railscast: Securing an API: http://railscasts.com/episodes/352-securing-an-api