Token是跨越文明与技术的通用标记，承载身份认证、权限控制与数据标记功能：从苏美尔泥板筹码到JWT、会话ID、硬件密钥，再到AI词元，其本质始终是系统认可的凭证。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

计算机里的Token一词看似简单，实则承载着跨越数千年文明与多重技术语境的复杂内涵。从苏美尔泥板上的黏土筹码，到现代AI模型中拆分句子的最小语义单元，再到登录网页时自动生成的一串加密字符串，Token始终作为被系统认可的“标记”存在。它不必然具备内在价值，却稳定承担身份认证、权限控制与数据标记三大核心功能。以下是对其发展脉络与多重含义的梳理：

一、溯源：Token的本义与古代雏形

Token的英文本义为“令牌、标记、凭证”，其本质是一种被权威或系统承认的象征物。这一概念并非数字时代产物，早在约5000年前的苏美尔文明，人们便使用不同形状的黏土筹码（clay tokens）代表羊、谷物或劳动力，用于记账与契约交换。这些筹码不具备金属货币的内在价值，但因被社群共同认可而成为可流通、可验证的信用载体。

1、考古证据显示，苏美尔人将黏土筹码封入空心泥球（bulla）中，外部压印对应内容的符号，形成早期防篡改机制。

2、随着楔形文字发展，泥板书写逐步替代实体筹码，但“以形表意、以符代物”的Token逻辑已牢固确立。

3、该逻辑延续至中世纪欧洲的“token coin”，即由市政当局发行、仅限本地流通的低面值辅币，其信用依赖于发行主体而非金属含量。

二、身份认证Token：互联网时代的临时身份证

在Web应用中，身份认证Token是用户完成登录后由服务器签发的加密凭证，用于后续请求中替代密码传递身份信息，避免敏感凭据反复暴露。其典型实现为JSON Web Token（JWT），结构包含头部、载荷与签名三部分，支持时效性、可验证性与防篡改。

1、用户输入账号密码，服务端校验通过后生成JWT，其中载荷含user_id、exp（过期时间戳）、iss（签发者）等字段。

2、服务器将JWT返回客户端，浏览器通常将其存于HttpOnly Cookie或内存中。

3、客户端后续每次请求在Authorization头中携带Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...格式的Token。

4、服务端使用预共享密钥或公钥验证签名有效性，并检查exp字段是否过期，确认无误后放行请求。

三、会话Token：维持状态的轻量级纽带

会话Token用于在无状态的HTTP协议上维持用户登录上下文，常见于传统Web应用。它本身不携带业务数据，仅作为服务端查找对应session存储（如Redis）的索引键，所有用户状态均保存在服务端，客户端只持有一个随机字符串标识。

1、用户首次登录成功，服务端生成32位以上随机字符串（如sess_8a7f3b1e9c4d2056），并写入session存储。

2、服务端通过Set-Cookie响应头将该字符串以sessionid=8a7f3b1e9c4d2056形式下发至浏览器。

3、浏览器后续请求自动附带Cookie头，服务端据此检索Redis中对应的用户权限、购物车等会话数据。

4、用户登出或超时，服务端主动删除Redis中对应key，使该Token立即失效。

四、硬件安全Token：物理层防护的动态密钥

硬件安全Token是具备独立计算能力的物理设备，用于生成一次性动态口令（OTP）或执行公钥密码运算，提供第二因子认证能力。其核心优势在于私钥永不离开设备，有效抵御钓鱼、键盘记录与中间人攻击。

1、用户插入USB形态的YubiKey或NFC形式的Google Titan密钥。

2、登录时输入密码后，系统提示“请触碰密钥”，设备内部芯片生成基于时间（TOTP）或挑战-响应（HMAC-SHA256）的一次性6位或8位验证码。

3、该验证码经由USB HID或NFC通道直接输入，不经过操作系统剪贴板或键盘驱动，阻断恶意软件截获路径。

4、银行U盾进一步集成PKI证书，在转账签名环节调用内置私钥对交易摘要进行数字签名，确保操作不可抵赖。

五、AI词元（Token）：大语言模型的语言原子

2026年4月1日，国家数据局正式将AI领域中的Token中文译名为“词元”，强调其作为大模型处理文本的最小语义单元属性。词元不是字符，也不是词语，而是依据训练语料与分词算法（如Byte Pair Encoding）动态切分出的子词单位，兼具可计量、可定价、可交易特征。

1、输入句子“我爱中国！”被LLM tokenizer切分为【我】【爱】【中国】【!】共4个词元，每个词元映射至唯一整数ID（如[123, 456, 78901, 2]）。

2、模型对这组ID序列进行嵌入（Embedding）变换，送入Transformer层计算注意力权重与隐藏状态。

3、输出阶段，模型逐个预测下一个词元ID，再通过词汇表反查还原为人类可读文本。

4、一次API调用的实际计费单位即为输入+输出总词元数，例如输入200词元、输出150词元，则按350词元结算。