本身也沒多少難度 就是按照預先幾個平臺約定的key ，請求端通過發送key加某個規則(比如平臺id)加密後構成的簽名碼，發送到服務器端，服務器根據提供的身份參數查詢獲得預先約定好的key 再用key加規則(比如平臺id)加密後確定無誤就算通過 ：很像密碼驗證吧。
然後給對方返回壹個無序的加密字符串，就是令牌啦。令牌要存在服務器上，壹般存數據庫裏和平臺請求的來源對應，設置有效期保存。
客戶端拿到這個令牌後就可以通過令牌訪問了，（和SESSION幾乎壹模壹樣）在服務器上交互，只需要驗證令牌的正確性和有效期，就可以放行進行操作了。
大致如此，細節有很多變化，機制運作差不多就這個樣子。