Das Token ist nicht sicherer.
Es dient ja nur dazu, nicht bei jeder sicherheitsrelevanten Aktion in der Webanwendung das Passwort im Klartext mitschleppen zu müssen.

Meine Meinung.

Oder missversteh’ ich dich mit deiner Frage?