Token除了登陆验证以外，我个人觉得最主要的作用就是可反解，通过token可以在服务器端查找出Token相关信息.这样可以省去一些不必要的参数。
关于token是否可以代替session来使用看个人需求吧，他们两者没本质上的区别，总体来说还是Token好一点.
如果使用token来提供OAuth 认证跟授权的话，session更没多大作用了，因为后面都是用Token来换取数据的.