cookie和token都存放在header中，為什么不會劫持token？

瀏覽器發送請求的時候不會自動帶上token，而cookie在瀏覽器發送請求的時候會被自動帶上。

csrf就是利用的這一特性，所以token可以防范csrf，而cookie不能。

JWT本身只關心請求的安全性，並不關心toekn本身的安全。