为啥认证token信息要放HTTP header里面呢？啥时候开始流行这种认证方式的

Question

搜索‘token 放header’看到的大都是2017-2018的，以前不是认证信息都放cookie吗？如果因为cookie不安全，cookie可以设置same-site防止CSRF攻击，可以设置httpOnly防止cookie劫持类攻击，如果说用户禁止cookie，不是有那种“本网站需要开启cookie”的提示吗？

Answer 1

前后端分离下，服务器拿不到你cookie，你放cookie有啥用，你只能通过header或者url带给接口

Answer 2

个人认为 放url 放 cookie 放 header 都一样, 最多只是看起来安全一些,
具体放哪, 我觉得主要是配合后台的认证架构设计.

Answer 3

你说的是JWT吧？建议看看JWT的设计思想扩充下见识。

JWT是在服务端no session的设计倡导下诞生的产物

Answer 4

token放header是为了传递，放cookie是为了存储。前后端一旦分离，cookie就只是一种存储机制了，而token是验证机制哦。