use hash_user for user_token