访问令牌通常是携带时效的字符串（如JWT），一旦泄露，攻击者可在有效期内冒用身份。