关于token不理解的地方

Question

目前在写api接口，是为移动端提供的接口，那么我们为用户设定了用户名密码的同时，为何还要加一个token？而且文档还说以token的方式来验证？那每次直接确认用户的密码不行吗？这个token作用是啥？百度说的不清楚啊

Answer 1

例如：

云冲印应用要访问你的百度网盘，读取网盘图片然后打印给你。但是它需要你的账号和密码才能登录访问你的网盘。你会放心把账号密码给它用吗？但是你可以授权网盘给云冲印一个令牌，这个令牌有效期10天。云冲印有了这个token，就相当于有了你的账号和密码。就可以拿着token去访问你的网盘数据了。这样你的密码不会泄露。你可以随时取消这个授权，这样可以禁止别人去读取你的数据。如果你给了账号和密码，那么以后想取消授权就只能改密码了。

用户密码存储在本地是不安全了，别人有机会可以看到你的明文密码。API是无状态的，难道每次请求都要把用户名和密码带上吗，这样会不安全。

本质上 token = 用户名 + 密码

Answer 2

这个说来涉及到的知识点很多，简单地说就是“用户的唯一标识”，这么说就很好理解了。
详细的可以学一下：
https://blog.csdn.net/xunfeng...

Answer 3

可以看我这个笔记https://segmentfault.com/n/13...

Answer 4

Token 就是令牌的意思，我拿token来做验证就不需要多次输入用户名和密码，可以实现单点登陆、outh认证等功能。

Answer 5

token可以设想成一个封装了的用户状态