1、session设置到请求头中，在后端处理是可以的，但是要保证session不变

2、可以类似微信后端的accesstoken机制，给每个微信用户生成一个临时token，设置有效期，每个请求必须携带临时token验证身份