Twitter/X 用 Token 登录：auth_token 与 ct0 导入浏览器
X（原 Twitter）的网页登录越来越严格：新设备要邮箱验证码、换 IP 要人机验证、同一浏览器多账号还要反复切换。手上有一批账号的人，通常会用 token 登录来绕开这些步骤——把账号的 auth_token 和 ct0 直接写进浏览器，页面刷新就是登录态。
一句话结论：token 登录不是破解，而是「把已经登录过的会话搬到浏览器里」。所以 token 有效、IP 对得上，就能进；token 过期或被注销，怎么点都进不去。
一、先搞清楚 token 里有什么
X 的网页登录态主要靠两个 cookie 维持，卖号时通常一起交付：
| 字段 | 作用 | 缺失会怎样 |
|---|---|---|
| auth_token | 身份凭证，服务端据此认定「你是哪个账号」 | 直接回到未登录状态 |
| ct0 | CSRF 校验令牌，网页端每个请求都要带上 | 能进页面，但操作时大量 403 |
有些卖家还会给 twid、kdt、guest_id 这些辅助字段。完整导入最稳，只导 auth_token 也能登，但更容易被要求二次验证。
二、开始前的准备
- Chrome 或 Edge 浏览器（扩展基于 Chromium，Safari 用不了）。
- X Token Login 扩展：
chromewebstore.google.com搜索「X Token Login」，作者是 lebmjgeajaflbnbggmpeibnpeonjlmgb 那个。 - 账号的 token 字符串，以及账号所属地区的代理节点。
- 建议先关掉浏览器里其它 X 账号的登录态，避免 cookie 冲突。
三、第一步：安装扩展并固定到工具栏
打开扩展商店页面点「添加至 Chrome」，安装完成后在工具栏的拼图图标里找到它，点右侧的图钉固定。固定这一步很关键——不固定的话，在 x.com 页面上可能看不到入口。
四、第二步：打开 x.com，调出扩展
保持未登录状态打开 x.com，然后点工具栏上的扩展图标。面板里会有 token 输入框和 Login 按钮。
五、第三步：导入 token 并登录
- 把 token 字符串整段粘贴进输入框。如果卖家给的是「字段名=值」的完整形式，整段贴入即可，扩展会自己解析。
- 确认没有多余的空格、引号、换行——从聊天窗口复制最容易带上这些。
- 点 Login，等页面自动刷新。
- 刷新后出现头像与时间线，说明登录成功。
六、登不进去时的排查顺序
- 仍然显示未登录。先确认 token 没过期：同一份 token 换一台设备试，都不行就是过期了，找卖家换。
- 能进但立刻被踢出。IP 与 token 生成地差太远。切到账号所属地区的节点再登一次。
- 页面满屏 403 或「出了点问题」。多半是 ct0 缺失或与 auth_token 不配套，要一份完整的 cookie 重导。
- 要求手机号或邮箱验证。账号触发了安全校验，token 绕过不了，只能收码验证。
- 扩展面板打不开。当前标签页不是 x.com，或者扩展被浏览器禁用。刷新页面重试。
七、安全边界：token 等于密码
- 持有 auth_token 的人可以直接以你的身份操作账号，不需要密码。所以不要把 token 发到群里、贴进公开文档。
- 怀疑泄露时，去「设置 → 安全与账号访问 → 会话」里退出全部会话，旧 token 立即失效。
- 不要把同一份 token 分给多人同时用，多 IP 并发会触发风控，账号容易被临时锁定。
- token 登录后建议顺手改密码、绑定自己的邮箱，把账号真正收回来。
八、常见问题
Q1：token 登录能维持多久？
取决于服务端会话策略，短则几天长则数月。主动「退出全部会话」会立刻失效。
Q2：手机 App 能用 token 登录吗？
不能。token 是浏览器 cookie，只对网页端起效。
Q3：为什么导入后时间线是空的？
新环境首次加载需要时间，也可能是节点太慢。刷新一次或换个节点。
Q4：token 登录和账号密码登录哪个稳？
长期看账号密码更稳，token 胜在省事。重要账号建议两个都保留。