AuthToken生成器是否足够独特？

Question

一旦我为用户（在多个设备上）生成一百万个AuthTokens，会发生什么......我应该担心线下的独特性吗？

在API中生成令牌的行是：

    def generate_key(self):
    unique = uuid.uuid4()
    return hmac.new(unique.bytes, digestmod=sha1).hexdigest()

好像它是SHA1，所以我假设它应该没问题，但也许我不仅要验证令牌，还要验证传入的设备ID或电子邮件？

有什么想法吗？