Как правильно организовать авторизацию через социалки в API для web/mobile?

При разработке веб-приложения с API постал вопрос о способе авторизации через социальные сервисы.
Как я делал это раньше: на бекэнде генерировалась ссылка для авторизации, в которую зашивался адрес редиректа, пользователь логинился и его бросало обратно вместе с токеном, которы чекался на принимающем редирект контроллере. Далее я брал этот токен и по нему получал все нужные данные с социалки.
Тепер же, когда появилось API, добавилось мобильное приложение и web front теперь SPA - необходимо переделывать мешанизм авторизации.
Разработчки мобильного приложения хотят получать всю информацию самостоятельно и передавать на апи такой запрос:
POST /api/users
email=demo@demo.com
password=1111111
provider=google
socialId=123123123
Как я понял, даже без токена.

Или же лучше клиенту получить токен и отправить его бекэнду, который сам вытянет нужную и информацию + будет уверен, что пользователь действительно залогинен в социалку.

Прошу мочь хотя-бы ссылкой, которая поможет снять чехлы =)
Спасибо.