Как работать с токенами?

На сайте имеется система авторизации. Она неидеальна, тк при удачной авторизации в сессию сохраняется объект класса User,содержащий методы для возврата email,проверки существования пользователя и т. д. Прочитал, что безопаснее всего использовать токены при авторизации пользователя. Однако я не понимаю и не могу найти описание механизма работы такой системы регистрации. Если я правильно понимаю, то такая система работает так: При успешной авторизации (успешная проверка email и пароля) в сессию и в базу данных (в ячейку, связанную с конкретным пользователем) сохраняется токен, который представляет собой строку (например 34ifhvjdfoiw$#%$,при авторизации всегда генерируется случайное значение). Далее на каждой странице, где требуется авторизация извлекаю из сессии токен и отправляю запрос в бд, который находит среди пользователей пользователя с таким токеном. Если токены совпадают, то я могу получать данные этого пользователя. Я правильно понял механизм работы системы авторизации с токенами?