安全的REST Web服务调用限制从我的应用程序外部访问

Question

我开发了一个AngularJs网站，Android＆amp; IOS移动应用程序。我使用https协议使我的Web服务调用更安全。我正在使用OAuth流程进行用户身份验证过程。身份验证过程完成后，OAuth令牌将作为对客户端应用的响应发送。

任何人都可以使用API​​响应中的OAuth令牌访问服务器资源（上传/下载用户文件）。因此系统没有完全安全，因为很难检查请求是来自我的应用程序还是应用程序外部。

如果有人发现我的服务返回了OAuth访问密钥，他们可以使用它们从应用程序外部上传/下载资源。服务器资源应该更安全，因为它包含更敏感的用户记录。请检查下面的图像以了解工作流程。其他程序部分是指自定义批处理脚本，其他客户端应用程序，第三方工具等。

如果有人试图从我的应用外部访问它，如何限制我的REST Web服务发送失败响应？

请通过解决这些安全问题为我提供保护我的Web服务和服务器资源的方法。