Aplicaciones móviles social Oauth

El token del que habla no se genera en la aplicación móvil. Se genera en los servidores de autenticación de terceros y se pasa a su aplicación móvil. Su aplicación móvil debe devolverla a los servidores para validar la autorización de sus aplicaciones.

Con respecto a la seguridad del token, asumiendo que está usando SSL, puede pasar el token en un parámetro de consulta como sugiere o como encabezado de un mensaje. El encabezado Authorization es el estándar a usar, pero como eres dueño de la aplicación móvil y de tu servidor, puedes colocarlo en cualquier encabezado.

Mi preferencia es nunca poner cualquier cosa que deba mantenerse segura en un parámetro de consulta. Las URL tienen la mala costumbre de exponerse a través de registros u otros mecanismos. Así que prefiero usar el encabezado.

Cuando te comuniques con servidores de terceros como Google, tendrás que usar el mecanismo que requieran.