Всё, что вы хотели знать о веб‑токенах, но боялись спросить

Екатерина Гайнуллина, Security Vision

Веб-токен — это маркер доверия, цифровой идентификатор, который сервер выдает пользователю после успешной аутентификации. Получив токен, клиент передает его при каждом обращении, а сервер по этому маркеру проверяет, что запрос исходит от авторизованного пользователя. Обычно токен не содержит секретов вроде пароля. На практике же это либо случайный идентификатор сессии, либо структурированные данные с подписью, например JSON Web Token (JWT). Цифровая подпись защищает содержимое токена от подделки, а сервер может проверить подлинность токена проверкой подписи или по записи об активной сессии. По смыслу токен можно сравнить с удостоверением личности, которое подтверждает, что проверка уже пройдена и повторный ввод пароля не требуется при каждом запросе.

Источник: Хабрахабр