Ciao Ares,
forse non ho capito la tua perplessità ma il token è rilasciato all'utente tramite username e password con una richiesta specifica che richede proprio le credenziali dell'utente: https://docs.moodle.org/dev/Web_services#How_it_works
HTH,
Matteo