Насколько вообще принято в целях безопасности, запутывать этапы авторизации? Допустим у меня есть приложение на хосте, есть приложение в веб что бы управлять приложением на хосте, в веб клиенте я получаю токен и указываю его на приложении в хосте, но, в промежуток между ними я вставляю допонительную сущность в виде сервера который и учавствует на самом деле в работе с приложением на хосте, всё работает через токены вместо логина/пароля, тоесть есть токен к которому ассоциирован второй, служебный через который уже и происходит взаимосвязь всего. Но снаружи токен используется тот который был выдан прямо пользователю.
Я надмозгно всё объяснил, но по иному нельзя )
И да я не про сессионные токены которые позволяют авторизовать без повторного ввода логина/пароля/токена.
Даже ещё добавлю, если злоумышленник завладеет токеном выданным пользователю, он будет бесполезен, вот в чём суть. Эдакая матрёшка, внутри матрёшки
