此问题简单至极，以php举例。
但和session不一样，和cookies有点接近，设计这个是为了解决cookies传值麻烦的问题。
首先在登陆的过程中，用户向服务端提交数据应有username、password、client_key
php在服务端拿到这些数据之后，用校验算法获取校验值，如md5。
(ps:不加密码是不行的，否则用户修改密码后之前的还是可以快捷登陆，这不坑人吗)$salt是一个加密key，防止别人猜到加密算法。
$token=md5($username.$password.date('yyyy').date('mm').$client_key.$salt);计算完成后将$token返回到客户端，作为存储。以后客户端只需要向服务端发送此$token和用户名。
当php收到这个$token就再做一次上面的运算，看是否一致即可快捷判断。
如果需要防止恶意注册和登陆，就需要在客户端对client_key进行加密，然后服务端解密做验证，然而这并没有什么卵用，一切客户端的代码都是不安全的，可以通过反编译，反混淆来分析，然后照样伪造。所以客户端的加密没有意义。
另外，服务器通过ip判断也是一个办法。
然而，从根源上来讲，防止恶意攻击就需要验证手机号才能注册，目前基本上通过此种方法实现。
答案没帮助，是错误的答案，答非所问
首先你要明确，
Token
是用于登录后验证身份的，所以一开始就否决了你期待用它来做防恶意注册，这两者完全不搭嘎。其次，要说
Token
与
Session
有什么区别，那区别就在于
Token
更具有定制型，因为它是由你实现的，就能干很多
Session
不方便干的事情，比如更好的做设备认证，更方便的控制有效期，更好的跨平台性……最重要的，HTTP协议本身定义就是无状态的，而
Cookie
这种东西的存在无疑有损无状态这个定义，所以几乎所有的接口都拒绝使用
Cookie
，弃了
Cookie
，那
Token
自然成了验证的首选。最后，
Token
的安全性着重于其不会被破解，不会被篡改，而不在于它传输时会不会被截取造成中间者攻击。截取的防护应该是由你加强传输过程中的安全性来实现的，比如增加参数签名，或者直接上HTTPS。