那肯定是:token安全等级更高。
Referer可以伪造,并且并不是任何服务器都可以取得referer,如果从HTTPS跳到HTTP,也不会发送referer。并且FLASH一些版本中可以自定义referer。
但是对于token的话,要保证其足够随机且不可泄露
客户端建议存储到sessionstage里