iOS e Server: estratégia OAuth

Estou tentando trabalhar como lidar com a autenticação quando tenho clientes iOS acessando um servidor Node.js e quero usar serviços como Google, Facebook, etc. para fornecer autenticação básica para meu aplicativo. Minha ideia atual de um fluxo típico é esta:

1. O usuário toca no botão Facebook / Google, que aciona as caixas de diálogo do OAuth (2) e autentica o usuário no dispositivo. Neste ponto, o dispositivo tem o token de acesso dos usuários. Este token é salvo para que, na próxima vez que o usuário usar o aplicativo, ele possa ser recuperado.

2. O token de acesso é transmitido para o meu servidor Node.js, que o armazena, e o marca como não verificado.

3. O servidor verifica o token fazendo uma chamada para o Facebook / google para o endereço de e-mail do usuário. Se isso funcionar, o token é sinalizado como verificado e o servidor sabe que tem um usuário verificado. Se o Facebook / google não conseguir autenticar o token, o servidor informa ao cliente iOS para autenticar novamente e apresentar um novo token.

4. O cliente iOS agora pode acessar as chamadas api no meu servidor Node.js passando o token a cada vez. Desde que o token corresponda ao token armazenado e verificado, o servidor aceita a chamada.

Obviamente, os tokens têm limites de tempo. Eu suspeito que é possível, mas altamente improvável que alguém possa cheirar um token de acesso e tentar usá-lo em sua vida útil, mas fora isso espero que este seja um método razoavelmente seguro para verificação de usuários em clientes iOS sem ter que rolar meu própria segurança.

Todas as opiniões e conselhos são bem-vindos.