# api/token ****** token 其实和 session 原理差不多，服务端通过给用户发送一个 token，用户通过 token 进行请求服务端，这种会话验证方式一般用于跨平台开发，以及接口开发，大概步骤为： * 用户 A 第一次进入，通过验证机制（账号密码登陆）请求服务端 token * 服务端验证成功，给用户发送一个 token （针对用户） * 服务端根据 token，在服务端存储对应的数据（文件、mysql、redis等） * 用户 A 端获取到 token，存储到用户端本地 * 用户 A 请求某接口，带上token * 服务端通过 token，验证用户有效性，返回数据 这种设计理念和 session 相差不大（无论如何变换，都是需要用户端存储相应的标识，用于给服务端解析） > 为了安全，服务端可设定 token 有效时间，以及加密 token，每隔一段时间变动一次 token 等。