cookie 和 token 都存放在 header 中，为什么不会劫持 token？

Cookie和Token都可以存放在HTTP请求的Header中进行传输，但它们有不同的机制来保护安全性，以防止劫持。

1. Cookie:

   • Cookie是一种服务器在客户端保存状态信息的机制，会在每次HTTP请求头中自动发送给服务器。
   • Cookie通常用于存储用户身份验证、会话管理等敏感信息，但Cookie的特点是每次请求都会自动携带，存在一定的安全风险。
   • 对于Cookie安全的保护，可以使用以下方法：
     • 设置Secure标志：只在HTTPS连接中传输Cookie，防止窃听攻击。
     • 设置HttpOnly标志：禁止JavaScript访问Cookie，防止XSS攻击。
     • 设置SameSite标志：限制Cookie跨站点传递，防止CSRF攻击。

2. Token:

   • Token是一种基于密钥或加密算法生成的令牌，用于身份验证和授权，常见的如JSON Web Token（JWT）。
   • Token在每次请求时需要手动添加到请求的Header中，通常使用"Authorization"字段。
   • 对于Token安全的保护，可以使用以下方法：
     • 使用HTTPS传输：通过使用加密通信的HTTPS协议，可以防止Token被拦截和窃取。
     • 仅用于授权：Token应仅用于验证用户身份和授权，而不应包含敏感数据。
     • 定期更换：定期更换Token，可以降低被劫持的风险。

虽然Cookie和Token都存在一定的安全风险，但在合理使用的情况下，采取相应的安全措施可以有效地降低劫持的风险。同时，开发人员也需要注意安全编码实践，避免XSS、CSRF等攻击方式。