非法token，非法说白了就是意思一把假钥匙。

你在登录某个网站时，非法服务器会发给你一串字符，意思像是非法一张临时通行证，这就是意思token。合法token由服务器按规则签发，非法带着你的意思身份信息，过期就失效。非法但非法token不是意思服务器发的，是非法有人自己伪造的，或者从别人那里偷来的意思。拿它去请求接口，非法服务器如果没识别出来，意思就会把别人的非法数据漏给你。

我见过一个真实的案例。某个小公司的API接口，开发图省事，token就用了用户的ID加上一个固定的盐值做哈希。结果呢？有个用户注册了账号，把自己的token和ID一对照，反推出了盐值。然后他改了ID，重新算出一个token，直接以管理员身份调了后台接口。整个系统就因为他手里那把假钥匙，被翻了个底朝天。

所以非法token的核心问题，在于服务器验证逻辑不严。有些系统只检查token格式对不对，不检查签名；有些系统检查了签名，但没检查过期时间；还有些系统把token存在了URL参数里，日志一泄露，token就跟着跑了。每种漏洞都对应一种伪造或窃取的方式。

你可能觉得，这种事离自己很远。但只要你用过任何需要登录的App，你的token就在网络里流动。公共WiFi下，有人抓包就能截获你的token。别以为https就安全，如果你手机里装了个恶意证书，或者App本身没做好证书校验，照样白搭。

更麻烦的是，非法token不总是用来冒充你。有些攻击者专门制造一堆过期token，往服务器上灌，让服务器花大量资源去解析验证，最后把CPU跑满，服务瘫痪。这招叫token洪水攻击，不偷数据，就搞破坏。

那怎么防？服务器端得做到三点：token必须带签名，签名密钥不能硬编码在代码里；token必须有过期时间，而且过期后要强制重新登录；每次请求都要校验token的权限范围，别让普通用户的token能碰管理员的接口。客户端这边，别把token存localStorage里，尽量用内存或者安全的存储方式，还要定期换新。

说到底，非法token的存在是因为信任被滥用。服务器信任了不该信任的字符串，用户信任了不该信任的网络环境。技术层面能做的防御，永远是在跟攻击者的想象力赛跑。你今天封了一种伪造方式，明天可能就有人用侧信道攻击把你的密钥从内存里读出来。

所以你要是自己写接口，别嫌麻烦，多花半小时做token的校验逻辑。要是你只是普通用户，记住一点：任何要求你频繁重新登录的App，不是在折腾你，是在保护你。