关于Web app与Web API之间的身份认证

Question

目前在做一个关于Web app项目的技术预研，针对Web app与Web api访问的身份认证问题，有一些问题。
1、Web api使用htpps协议，这样是否可以做到对客户端的请求（GET/POST）内容做到加密，避免请求被抓包软件截取并掌握请求内容？如果不可能，有什么好办法解决吗？
2、web app调用登陆接口，返回一个token，此后，调用其它api接口都需要传回此token，对身份进行验证，token保存到cookie中，有效期为7天，这样能否有效避免仿冒身份的用户请求？
3、对于所有用户ID，都使用GUID生成，避免被猜中用户ID，这样是否有效？

以上是我的一些疑问，每一次做web app的开发，请大佬不吝赐教，或者还有其它需要注意的问题，请大佬指出。谢谢

Answer 1

token有效期是服务器说了算，不是前端保存几天说了算的，搞反了