请谈谈你对基于 token 的身份验证机制的理解，包括其工作原理、常见实现方式以及优缺点。

回答思路

1. 【回答框架 1】Token 身份验证是一种无状态的身份认证方式，客户端在登录成功后获得一个加密签名的 token，后续请求携带该 token 供服务端验证，服务端无需存储会话状态。
2. 【回答框架 2】常见实现包括 JWT（JSON Web Token），由头部、载荷和签名三部分组成，签名保证 token 未被篡改，载荷可包含用户标识和过期时间等声明。
3. 【回答框架 3】与传统的 Session 相比，token 验证适合分布式系统和前后端分离架构，便于水平扩展，但需注意 token 的存储安全（如防止 XSS 窃取）和过期策略。
4. 【回答框架 4】实际应用中需结合 HTTPS 传输、设置合理的过期时间、使用刷新 token 机制，并考虑 token 撤销问题（如黑名单或短有效期）。
5. 【关键点 1】Token 验证的核心是无状态，服务端不保存会话，通过签名验证 token 真实性。
6. 【关键点 2】JWT 的签名算法（如 HS256、RS256）确保 token 完整性，但载荷信息是明文，不应存放敏感数据。
7. 【关键点 3】Token 适合分布式环境，但需处理过期、刷新和撤销策略，避免安全漏洞。
8. 【易错点 1】不能将 token 直接等同于业务幂等，需结合唯一标识和状态记录实现幂等。
9. 【易错点 2】避免在 token 中存储敏感信息，如密码或个人信息，防止泄露。
10. 【易错点 3】不要忽视 token 的过期和刷新机制，否则可能导致用户体验差或安全风险。