若别人没有我的用户名、密码，那我的账号自然安全，用不用token都安全。 若别人有了我的用户名、密码，用了token也还是一样，别人还是能登录，用不用token都不安全。 总结：从上面两点来看，账号的安全与token没什么关系，关键是用户名、密码是否被窃取。 所以我认为token不是没必要么。下面有我使用token的方法，不知对不对。
使用token步骤： 1.判断用户名密码是否正确 2.若正确则生成token发送到客户端。生成token如下： const secret = ‘aaa’; //撒盐：加密的时候混淆 user.token = jwt.sign(user.toJSON(), secret, { expiresIn: 60 * 60 * 5 //5小时到期时间 }); //process.env.JWT_SECRET 3.客户端保存token到cookie里面，客户端需要访问授权页面时，把token加到ajax的headers里面。 4.根据客户端传来的token进行解码，如下： jwt.verify(bearerToken, ‘aaa’, function (err, decoded) { if (!err) { console.log(‘decoded=’ + decoded.username +’;;’+decoded.password); //如果超时，则有错误。 req.body.username = decoded.username; req.body.password = decoded.password; } })
JWT从来都是和session认证做比较，而不是和「不用token」做比较。
JWT最大的优势在于无状态，不会像session一样需要在后端维持一个session状态。
这种优势在跨端的时候尤其明显。
用户名和密也是广义上的 token，而程序生成的 token ，主要是为了
- 避免在信息被窃取的时候可能的其他损失，想象一下如果每次带上用户名和密码，万一这些信息被中间人窃取，那如果用户在其他网站也使用这些密码，那么其他网站帐号就很危险了
- 另外生成 token 还可以额外保存一些信息，用户的 id，ttl 这些来方便其他目的
抛开session、jwt与token的关系（实际上没卵关系），我认为使用token相比直接使用账号密码的优点：
- 相对安全，如果使用账号密码，出现一次被窃取就必须改密码才能防止恶意攻击，而token往往有有效期（越敏感，有效期越短），这样可降低被窃取带来的损失
- 有些认证过程并不是账号密码，可能是证书、验证码等形式，这时使用token可以避免频繁验证
- 间接授权优势，比如某人在我电脑上登录一个账号查看东西，每次都传账号密码，等他走后我可能破解他的账号密码
token本身只是一个概念，直译成“令牌”很恰当，它是授权的一种通用方式，用户登录如果使用token，我们可以这样形容：“账号所有者，授权某某(token)具有系统暂时的访问权限”，如果直接使用账号密码仿佛是说：“我是账号所有者，所以我能访问xxx”，前者比后者要灵活。
没有对错，搞清楚本质并权衡利弊，然后自己做决定。
