Веб-API OWIN - Как проверять токен при каждом запросе

У меня два приложения

1. Клиентское приложение, построенное на ASP.NET MVC
2. Сервер аутентификации на основе Web API + OWIN

Запланировали аутентификацию следующим образом

1. Для входа в систему клиентское приложение отправит запрос на сервер аутентификации с зарегистрированными учетными данными.
2. Сервер аутентификации сгенерирует токен и отправит его обратно клиентскому приложению.
3. Клиентское приложение будет хранить этот токен в локальном хранилище.
4. для каждого последующего запроса клиентское приложение будет прикреплять токен, хранящийся в локальном хранилище в заголовке запроса.

ТЕПЕРЬ НА СЕРВЕРНОЙ СТОРОНЕ ПРИЛОЖЕНИЯ CLEINT МНЕ НУЖНО ПРОВЕРЯТЬ, ЧТО ТОКЕН ПРИХОДИТ С КАЖДЫМ ЗАПРОСОМ, НЕ УКАЗАННЫЙ.

1. Пожалуйста, предложите мне, как проверять токен в каждом запросе, поскольку я не знаю ключ, который OWIN использовал для создания токена.
2. Правильно писать код для проверки токена в клиентском приложении или он должен быть на сервере аутентификации.
3. Я планирую перенести весь код управления пользователями, например, зарегистрировать пользователя, изменить пароль на сервер аутентификации, чтобы мы могли повторно использовать его для другого клиентского приложения - это правильная практика дизайна?

До сих пор я написал код ниже, чтобы просто создать POC.

========================= Конфигурация OWIN ========

    [assembly: OwinStartup(typeof(WebApi.App_Start.Startup))]
    namespace WebApi.App_Start
    {
        public class Startup
        {
            public void Configuration(IAppBuilder app)
            {
                HttpConfiguration config = new HttpConfiguration();

                ConfigureOAuth(app);

                WebApiConfig.Register(config);
                app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
                app.UseWebApi(config);
            }

            public void ConfigureOAuth(IAppBuilder app)
            {
                OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions()
                {
                    AllowInsecureHttp = false,
                    TokenEndpointPath = new PathString("/token"),
                    AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
                    Provider = new SimpleAuthorizationServerProvider(),

         };

         // Token Generation

                app.UseOAuthAuthorizationServer(OAuthServerOptions);
                app.UseOAuthBearerAuthentication(new 
 OAuthBearerAuthenticationOptions());

            }
        }
    }

==============================oAuth Provided========================

 public class SimpleAuthorizationServerProvider: OAuthAuthorizationServerProvider
    {
        public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
        {
            context.Validated(); 
        }

        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {


            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });

            using (AuthRepository _repo = new AuthRepository())
            {
                IdentityUser user =  _repo.FindUser(context.UserName, context.Password);

                if (user == null)
                {
                    context.SetError("invalid_grant", "The user name or password is incorrect.");
                    return;
                }
            }

            var identity = new ClaimsIdentity(context.Options.AuthenticationType);
            identity.AddClaim(new Claim("sub", context.UserName));
            identity.AddClaim(new Claim("role", "user"));

            context.Validated(identity);

        }
    }

Пожалуйста помоги,

Спасибо,

@Павел