Capitan Ovvio è chiaro che per garantire la sicurezza l'unico modo è tagliare le mani alla gente, ma permettimi di dire che fra un sistema richiedente
username e password
ed uno richiedente
username,password e token
il più "virtualmente sicuro" è il secondo.
Poi ripeto:se deve succedere succede,se uno con tanto tempo da perdere e tanto esperto vuole violare magari aggirerà anche l'ostacolo token, MA una porta di sbarramento in più non può che dare più sicurezza , anche ai meno pollibaci