j2ee服务器如何与android客户端结合使用

情况：
1.数据库的设计已经在做web的时候完成，不能再改了，用的是mysql
2.需要做一个手机应用，使用的是前面设计好的数据库
设想的方案是：
1.设计一个service provider提供服务，可以连数据库
2.手机app通过service provider提供的API间接的访问数据库
这种方案我想应该是可以实现的通，但是现在有些东西不知如何解决：
1.验证放在哪里进行？service provider或是手机app？
2.service provider如何保证安全，如何识别冒牌的app？
3.service provider的权限如何控制？