[网络] 50. cookie 和 token 都存放在 header 中，为什么不会劫持 token？

[HYzoro]

浏览器发送请求的时候不会自动带上token，而cookie在浏览器发送请求的时候会被自动带上。

csrf就是利用的这一特性，所以token可以防范csrf，而cookie不能。

JWT本身只关心请求的安全性，并不关心toekn本身的安全。