令牌

它和密码有什么区别？

密码是你的"身份证"——用来第一次证明你是谁。但如果每次打开一个页面都要重新输入密码，体验会很糟糕。所以系统在你第一次登录成功后，会发给你一个临时的令牌（Token），之后你每次访问受保护的内容时，只需要出示这个令牌就行。

这就像入住酒店：你在前台出示身份证登记（密码验证），然后拿到一张房卡（令牌）。之后你用房卡开门、进健身房、去游泳池——不需要每次都出示身份证。

它和 API 密钥有什么区别？

API 密钥是一个长期有效的凭证，代表的是"一个应用"的身份——通常由开发者在平台上手动生成，用于代码中调用外部服务。

令牌是一个短期有效的凭证，代表的是"一个用户"的登录状态——由系统在用户登录时自动签发，到期后自动失效。

有什么需要注意的？

令牌虽然是临时的，但在有效期内，它和密码一样敏感——拿到你令牌的人可以冒充你执行操作。不要在前端代码中把令牌暴露在能被随意读取的地方。大多数认证服务（如 Supabase Auth）会帮你自动管理令牌的存储和刷新，你通常不需要手动处理这些细节。