token

Token tồn tại để mật khẩu chỉ phải đi qua mạng một lần. Sau lần đăng nhập đầu, mọi lời gọi mang theo token thay vì mang theo mật khẩu.

Token sống ngắn là lựa chọn có chủ đích: lộ ra thì thiệt hại hết hạn sớm. Phần bù cho sự bất tiện là refresh token — sống lâu hơn, cất kỹ hơn, chỉ dùng để xin token mới.

Token nằm trong nhóm secret: không ghi ra nhật ký, không gắn vào báo cáo lỗi, không dán vào tin nhắn khi nhờ đồng đội kiểm giúp.