我有一个Android应用，用于使用Firebase登录的Google帐户。当我启动Android应用程序时，Firebase返回带有用户信息的令牌。我将该令​​牌发送到服务器进行验证。令牌中有一个日期和一个有效期（1小时）。

客户端-> Android 服务器-> RESTFUL PHP

从这里我不知道什么是安全的，或者什么是最安全的通信方式：

1st-在从客户端到服务器的每个https请求中，发送Firebase令牌，直到其过期。 （对于每个请求，我必须在URL中收集Google提供的公共密钥以对令牌进行解码）

2nd-当我的服务器收到Firebase令牌时，它必须返回一个新令牌（由服务器生成），客户端必须在每个https请求中向服务器发送新令牌，直到该令牌过期。

哪种方法好？我错了，还有别的更好的方法吗？