Node.js - аутентификация клиентов

Есть такая связка:

Стороннее приложение имеет доступ во вне локальной сети, когда пользователь авторизовался в нём, это событие уходит на node.js сервер и разрешает подключение клиента уже со своей локальной машины.

Единственный идентификатор, который будет общим как для этого приложения, так и для клиентского - IP адрес. Т.е.: пользователь авторизовался в приложении на сервере и оно передало это на -> node.js сервер, который в свою очередь заносит IP пользователя в БД, и когда пользователь совершает подключение из клиентского приложения, происходит сверка IP адресов. Всё работает, но таким образом не достичь нормального уровня безопасности, ведь по сути IP на стороне клиентского приложения можно подменить. Была мысль использовать IP как токен, генерируемый из секретки, и в случае если IP при подключении совпадают, скидывать токен клиенту, но есть ли в этом смысл?

Как можно поступить в данном случае, есть ли какие-то иные решения?