1.客户端使用用户名跟密码请求登录 2.服务端收到请求，去验证用户名与密码 3.验证成功后，服务端会签发一个 token 并把这个 token 发送给客户端 4.客户端收到 token 以后，会把它存储起来，比如放在 cookie 里或者 localStorage 里 5.客户端每次向服务端请求资源的时候需要带着服务端签发的 token 6.服务端收到请求，然后去验证客户端请求里面带着的 token ，如果验证成功，就向客户端返回请求的数据 > > 每一次请求都需要携带 token，需要把 token 放到 HTTP 的 Header 里 > 基于 token 的用户认证是一种服务端无状态的认证方式，服务端不用存放 token 数据。用解析 token 的计算时间换取 session 的存储空间，从而减轻服务器的压力，减少频繁的查询数据库 > token 完全由应用管理，所以它可以避开同源策略