早期的api有用http basic认证方式，会在每次请求里面传password，现在一般都是传token。
还有基于token的比如jwt，会涉及到类似你说的这种加密。
token只需要保证绝对唯一性，不需要包含实际数据元素，也不应该包含。
【 在 facilitator 的大作中提到: 】
: 用aes-256加密username和token么？ 貌似为了安全因素 通常不保存password在cookie当中吧？ 即便是对称加密过的
--
修改:dhcn FROM 111.196.4.*
FROM 111.196.4.*