# 认证

WebView 登录态怎么传：不要把长期 token 交给 H5

一次把 App token 拼进 URL 的方案，暴露了日志泄漏、过期与多端不一致问题。最终用能力白名单和短期会话划清边界。