我正在编写一个移动应用程序，需要验证我的理解以正确的身份验证流程如何工作（Firebase身份验证和Django后端）：
1.客户端（应用程序用户）注册/登录，Firebase返回tokenID
2.客户端将tokenID发送到后端服务器
3.服务器使用firebase验证tokenID，作为响应，firebase返回user_id
4.服务器现在已经验证并标识了客户端，并生成了一个cookie，该cookie将在用户的每个请求中传递。
如果我没做错，那么在客户端必须从Firebase获取另一个tokenID之前，cookie应该持续多长时间？什么是最佳安全性，但就速度而言，对于生产应用程序可行？
我缺乏理论背景，在这里需要一些指导。