Usar Rest é a melhor solução. Um modelo de arquitetura que eu sei que funciona é:
Server(com regras de negócios) <------ VIEW
Note que não importa quem seja a VIEW, ela chamará o servidor e se comunicaria por JSON, por exemplo.
O problema começa com a seguinte pergunta: quem vai controlar a sessão? O usuário deverá estar logado para excluir um registro? O que acontecerá se alguém chamar esse método sem login?
Note que ao expor o servidor de negócios você terá sempre que blindar o acesso ao acesso de métodos privados.
Servidor de Negócios e um Servidor de Visualização
Ao usar JSF apenas você tem a vantagem de ter a seguinte arquitetura:
Server <----- View (JSF Mobile e Web)
Apenas seus managed beans serão chamados e com isso você não precisará expor seu servidor de negócios para o mundo, apenas para o servidor web.
Servidor de Negócios e duas Views Diferentes
O problema aparecerá quando você fizer a arquitetura abaixo:
View (App nativo) -----> Server <----- View (JSF Web)
Note que toda sua validação feita no JSF não será mais válida (validação de input, acesso a determinado método caso não tenha se logado, etc), pois você precisará ter uma validação dessas regras também no APP.
Soluções
Eu vejo algumas soluções para esse tipo de problema:
- Você poderia ter todas as regras de negócio em um servidor e suas views serem inteiramente 'burras'. Fulano tentou acessar um método e não está logado, o server retornaria 401 e a view entenderia que um login seria necessário.
Ter um servidor no meio caminho (algo como um um controlador de sessão). Veja o exemplo abaixo:
View (App nativo) -----> View Rules Server <----- View (JSF Mobile e Web)
|-----> Server
Esse View Rules Server receberia todas as chamadas HTTP e validaria se para determinada URL um login é necessário, se o cara está logado e se ele tem permissão para acessar esse recurso.
A vantagem dessa abordagem é que seu servidor de serviços preocuparia apenas com as regras de negócio em si e não com as questões de segurança.
Desacople seu serviço
Outro detalhe que você tem que sempre ter em mente é: não retorne seu objeto de negócio diretamente para a view.
Se você tiver a classe abaixo:
@Entity
public Pessoa(){}
Evite retorná-la diretamente para a view. Qualquer alteração no negócio poderia significar em alteração na view. O ideal seria criar um VO para isso.
public PessoaVO(){}
Esse cara seria o objeto retornando desacoplando assim sua camada de negócio da camada de visualização.