RESTFul Web API通常是为面向服务器的服务而设计的，在大多数情况下，客户端将使用其apiKey / apiSecret请求访问令牌。
在面向移动应用的WebAPI中，尤其是面向消费者的应用程序，最终用户并不关心apiKey / apiSecret，他们只知道他们的用户名/密码。
我应该说移动应用程序实际上是某种浏览器，它会传输用户名/密码来获取cookie，并使用cookie访问Web API以从服务器获取JSON对象。服务器可以使用cookie / session通过Web API跟踪用户操作吗？
那么他们的身份验证方法（令牌和cookie /会话）是主要区别吗？