Android客户端C/S/S应用如何做安全访问控制

如题：
C/S/S架构，android移动客户端，服务端基于java ee开发，所有的数据存储操作都有服务端完成，客户端直接使用http访问服务端。请问：服务端如何认证客户端是一个已经登录的，且合法的客户端？或者，换句话说，服务端如何才能信任客户端？