Вопрос навеян тем, что в базе будт хранить token от яндекс-лиска и в случае, если плозой человек узнает этот token, то сможет ли он получить доступ к yandex-disk (случай, что он знает api опускаем).

Давай проверим
http://catalog.mista.ru/public/343316/

token это как ключ кому отдашь, тот и воспользуется.