Аутентификация через REST API прямым запросом?
Use JWT, только помните что это не аутентификация, а просто формат токенов, обеспечивающий определенный уровень доверия. И не в get query string, a headers. 
Специально для тех кто советует POST - почитайте что такое REST Verbs, зачем они нужны и про кэширование. Кэшировать GET критически важно для API, в если использовать POST для получения данных, а не для записи это уже не REST.
допустимо ли такое вообще - конечно нет!!!
upd:
POST с пассом в auth url, в ответе токен, далее его в headers