セッションによる認証とは、PHPの標準セッション機能のように、ウェブサーバでセッションIDを作り、ブラウザがリクエスト時にそのセッションIDを含めて送信する。 ウェブサーバはセッションIDをもとにしてそれに紐づいたセッションデータ（ユーザ情報など）を取得する トークンによる認証とは、ウェブサーバでトークンを作り、（ユーザ情報などの）セッションデータを暗号化してブラウザにトークンとして送る。