Cómo restringir / detectar la solicitud HTTP realizada a mi servidor desde una aplicación móvil que no es mi propia aplicación cliente

Desde que mencionó Facebook, Facebook funciona bajo el usuario final con las credenciales adecuadas. El acceso de API está protegido por OAuth, es decir, autorización.
Tienes pocas opciones, todo lo cual implica
a) Autenticar al cliente
b) Hacer cumplir la autorización

La autenticación puede ser con
1) nombre de usuario / contraseña (mala idea … ya que no desea codificar el nombre de usuario y la contraseña en todos los dispositivos móviles).
2) nombre de usuario / contraseña que el usuario final puede ingresar … suponiendo que su aplicación tenga el concepto de usuario final … (a menos que sea como Yelp, donde la mayoría de los datos son de acceso público, es decir, para Yelp)
3) Esto implica un mecanismo de arranque simple a complicado que implica una operación asimétrica.

Sin algún tipo de autenticación, no puede asegurarse de que solo su aplicación móvil acceda a sus servicios HTTP (S).

Otro riesgo a considerar:
Asegúrese de elegir la opción que elija, tenga en cuenta el almacenamiento seguro de los datos en el dispositivo cliente.
Espere que el dispositivo del cliente pueda verse comprometido. (por lo tanto, no se comparte nombre de usuario / contraseña). Si está comprometido, puede aislar a un solo dispositivo / un usuario en lugar de toda la base de usuarios.