用户名和密码存储不安全，也不要想着用 cookie/session 的方式来保证需要鉴权 API 的安全性(因为 session 会超时而 APP 有一个需求是比较长的时间是不需要登录的)，所以 token 是比较好的选择，配合 mysql 或 redis 或其他存储方式灵活设定超时时间。

我这边的处理方式，欢迎纠错非常感谢：用户名和密码登录时候获取 token ， APP 存储，需要鉴权访问的 API 带上这个 token,和 APP 约定超时时间，服务器把 token 以及对应的 user_id 存储在 redis 并设置超时时间，服务器接收这个 token 获得 user_id 进行逻辑处理，如果 token 找不到 user_id(可能 token 错误或 token 已经超时自动删除)就响应 error ， app 获得 error 重新登录