如何隐藏jwt访问令牌？

Question

我的应用应隐藏使用应用的用户的访问令牌，我该如何实现？

我正在使用express.js来表示api ...

现在我可以登录生成这样的令牌：

var userInstance;

app.post("/login/user" ,function(req,res) {
    var cred = _.pick(req.body, "email", "password");

    db.user.loginAuth(cred.email, cred.password)
    .then(function (user) {
       userInstance = user;
       return db.token.create({
        token: user.generateToken("auth")
       });

    })
    .then(function(token) {
        res.send({
            token: token.token,
            user: userInstance
        });
    })
    .catch(function() {
        res.status(401).send();
    });


});

我需要创建例如将使用api和令牌的PHP脚本不会被泄露