Что происходит с токеном
- Он уходит одним POST-запросом и сохраняется на сервере демо, а не в браузере.
- Браузер получает только cookie с идентификатором сессии — она httpOnly.
- Запись живёт сутки с последнего обращения; «Забыть токен» стирает её сразу.
- В журнале вызовов и в логах токена нет: операции авторизации туда не пишутся.
Где взять токен — в руководстве по авторизации.