adicionado login no SPA, encapsulado o /token para nao precisar do CORS nele