cookie和token都存放在header中，为什么不会劫持token？