Augusto,
Você pode gerar o token no php e devolvê-lo no success do login e então passar a informá-lo em todas as demais requests.
Normalmente as requests por API fazem a checagem de autenticação por requisição, inclusive isso depende da sua lógica e do tempo de inatividade.
Por exemplo, se você não for expirar o usuário no app até que ele faça o logout, pode criar uma tabela de relacionamento de usuário com sessão. E armazenar o token nesta tabela. Sempre que você achar o usuário nesta tabela ele está logado. E para deslogá-lo, só excluir o registro.
Se você irá utilizar 100% webview, pode armazenar os dados do cliente na sessão do javascript.
Algo parecido com isso:
window.sessionStorage.setItem("token", "meutoken")
Para recuperar:
window.sessionStorage.getItem("token")
Adicionalmente...
Supondo ainda que você tenha jQuery carregado e o token está no header Authorization
pode definír como padrão em todas as requisições assim:
$.ajaxSetup({
headers: { 'Authorization': window.sessionStorage.getItem("token") }
});