Я помню делал приложение с привязкой к одной срм, где токен может делать все, начиная от создания заказа, заканчивая созданием администраторов. И там челы прям упёрлись типа апи им не нужно токен вшивать в аппку будем.
Когда ты устанавливаешь базу, то по умолчанию создаётся пользователь root, но в целях безопасности, создают иного пользователя, который будет обращаться к базе данных