简述cookie 和 token 都存放在 header 中，为什么不会劫持 token ？
参考答案：
Cookie和Token都是用于在HTTP请求的Header中传输的数据，但它们在安全性方面有不同的机制。
首先，Cookie是服务器在客户端保存状态信息的机制，每次HTTP请求头中都会自动发送给服务器。由于这一特性，Cookie存在一定的安全风险，因为敏感信息如用户身份验证和会话管理等可能会被窃取。为了缓解这种风险，通常会设置HttpOnly标志，禁止JavaScript访问Cookie，从而防止XSS攻击。
而Token是一种基于密钥或加密算法生成的令牌，用于身份验证和授权，如JSON Web Token(JWT)。与Cookie不同，Token在每次请求时需要手动添加到请求的Header中，通常使用"Authorization"字段。这意味着，除非攻击者能够获取到用户的Token并添加到请求中，否则无法假冒用户身份。
此外，Token通常使用加密算法进行签名，这使得Token具有更高的安全性。即使Token在传输过程中被截获，攻击者也无法伪造或篡改Token的内容，因为缺乏正确的密钥或加密算法。
因此，尽管Cookie和Token都存放在HTTP请求的Header中，但由于Token采用了不同的机制和加密技术，使得它相比Cookie更难被劫持。然而，无论使用Cookie还是Token，都需要在合理使用的情况下采取相应的安全措施，以确保数据传输的安全性。