那肯定是:token安全等级更高。
Referer可以伪造,并且并不是任何服务器都可以取得referer,如果从HTTPS跳到HTTP,也不会发送referer。并且FLASH一些版本中可以自定义referer。
但是对于token的话,要保证其足够随机且不可泄露
客户端建议存储到sessionstage里
您当前没有「奇安信攻防社区」的账号,注册后可获取更多的使用权限。