楼主的问题应该是怎么进行加密通讯防止API外部调用吧，给你一个我的方案
服务器端与客户端各自会存储一个TOKEN,这个TOKEN我们为了防止反编译是用C语言来写的一个文件并做了加壳和混淆处理。
在客户端访问服务器API任何一个接口的时候，客户端需要带上一个特殊字段，这个字段就是签名signature，签名的生成方式为：
访问的接口名+时间戳+加密TOKEN 进行整体MD5,并且客户端将本地的时间戳作为明文参数提交到服务器
服务器首先会验证这两个参数：验证时间戳，如果时间误差与服务器超过正负一分钟，服务器会拒绝访问(防止被抓包重复请求服务器，正负一分钟是防止时间误差，参数可调整)，
然后服务器会根据请求的API地址和提交过来的时间戳再加上本地存储的token按照MD5重新生成一个签名，并比对签名，签名一致才会通过服务器的验证，进入到下一步的API逻辑

签名和对称加密呢？ 一般，签名用的是非对称加密的算法，比如你们公司有两个系统（A，B），那这两个系统就是可以互相信任的，但你又不希望从A登录到B需要输入用户名密码（因为这样会有泄漏用户阿），然后你就可以配置一个非对称加密的签名方式。比如在A保存非对称加密算法的私钥，B保存对应的公钥。用A里的私钥随便加密一点东西传到B，B就可以通过公钥证明A的身份，的确是来自A了。
非对称加密就更不用说了///

access token是一种方式，早期简单点的有appid,appkey方式，复杂一点的可以使用RSA加密

服务器和APP直接大部分通过接口调用，比如 用户列表。/user/list/
post 到/user/list/里面有加密的一个token 这个是验证你是不是一个合法的访问者。而且现在很多开发平台比如微信。

这个就是 一个签名合法验证的一个例子。他们通过一些加密的机制和token 进行二次加密。然后获得合法的验证。
你可以加群：231566327 进行深入聊下。