``` 1. 客户端登录成功，服务端会返回一个Token 2. 客户端保存Token, 以后每次请求，带上Token 3. 服务端收到请求，验证请求带的Token ``` ### Token相对于Cookie的优点? ``` 1. 支持跨域访问，Cookie不支持 2. 无状态，服务端不需要存储登录状态 3. 去耦，不需要绑定一个特定的什么验证方案，Token可以在任何地方生成 4. CSRF, 不依赖Cookie, 所以就不需要考虑对CSRF的防范 ```