token 究竟能起什么作用？验证身份？防止重复提交？可伪造吗？

这个问题太开放了，就好像这个问题：今天天气不错，大家觉得做点什么好啊？


————————————————————————————————
基于CSDN论坛提供的插件扩展功能，自己做了个签名档工具，分享给大家，欢迎技术交流 :)

在joomla源码中看到过。。在那边好像是防止表单伪造。阻碍垃圾信息的。起了安全作用。至于跟cookie的关系，那就不知道了。 

说的是anti-CSRF Token么

都有可能啊！都可以讨论啊！存在说明它是一种机制！ 令人感兴趣的也是如此！

如果用你查看一个网站页面的cookie (web developer -查看cookie)，经常会见到这个 ucenter或mediawiki之类的网站都有.

表单中也有这个ucenter或mediawiki的表单有这种机制。

如果大家曾经用过，可以讨论一下工作原理。

最近正好打算写一个类似Token表单验证的东西
个人觉得如果单是表单验证的话似乎用Session比Cookie要好一些
但如果是跨子域名的话好像session传不过去

token 可以放任何需要的东西

我用过的场景是进行二次验证，该token是用户登录后才设置的。验证用户是否登录 后还要验证该token cookie是否跟服务器上的相吻合。当然是为了安全的考虑

没有怎么用过 不太清楚啊  
不过看上面的帖子说的都很好啊

没有怎么用过 不太清楚啊  
不过看上面的帖子说的都很好啊

占座，坐等楼主解释应用场景和经典案例。

防止程序自动提交表单。

防止表单的非法提交吧

防止远程提交表单

有可能是OAuth验证使用到的吧，Request Token、Access Token之类的。

是qq号登录 人人网登录  这些第三方网站登录的时候用到的吧

楼上的说的已经很多了。token的含义是令牌，标识。作用显而易见

补充一点我们用到的：
访问数据的标识符。
可能数据包含很多类，通过标识符区分该客户访问的服务

表单令牌，防止表单恶意提交

我也在用token，不过这个是保存的用户信息，用户的所有操作都和这个token有关，若是用户伪造了一个合法的token，就会导致他有权限操作该用户。不清楚是否存在不安全因素。。。

Token就是现实中的"令牌"
没有正确的Token话，说明双方不是"熟人"