Also um die Frage noch einmal aufzugreifen:

Warum sollte ein zufällig generiertes Token sicherer sein, als das vom Benutzer selbst festgelegte Passwort?

Um die Frage richtig zu verstehen, es geht nicht darum, ob ein vom Benutzer festgelegtes Passwort sicher ist. Denn dieses Passwort wird ja ohnehin bei der Anmeldung verwendet. Die Frage ist also warum es ersetzt wird durch ein zufällig erzeugtes Token was vom Benutzernamen+Benutzerpasswort völlig unabhängig erzeugt wird.

Viel Spaß beim Nachdenken.