如何做到防止伪造，就是说即使算法泄露，服务端也能识别出来。要做到这一点，服务端就要缓存token的存根，当请求到达时，比较请求中的token和服务端同一个用户的token存根是否匹配。