使用HTTP和websockets时的身份验证类型

Question

我有一个网站，我正在使用常规HTTP API请求和一个用于实时数据的websocket认证连接。

我正在对API请求使用令牌身份验证，在通过标头令牌连接时验证websocket连接。

然而，如果用户在两台机器上使用相同的令牌，我仍然会以某种方式唯一地识别＆＃34;会话＆＃34;。我是否保存登录时生成的随机字符串以及身份验证令牌，以唯一标识会话？

或者我是以错误的方式解决这个问题而且令牌认证真的不适合我的情况吗？

因为令牌验证在前端实现起来要容易得多，因为我正在使用React。