хз
логика такая, что при авторизации пользователя в приложении в ответе приходят user_id и secret
далее во всех запросах я отправляю в теле запроса закодированный user_id с secret
а ответ я декодирую с помощью того же secret
Скорей всего это не секрет сервера а ключ сессии, но передавать его каждый раз не надо, тем более где? В токен клиент ничего положить не может