为啥认证token信息要放HTTP header里面呢？啥时候开始流行这种认证方式的

Question

搜索‘token 放header’看到的大都是2017-2018的，以前不是认证信息都放cookie吗？如果因为cookie不安全，cookie可以设置same-site防止CSRF攻击，可以设置httpOnly防止cookie劫持类攻击，如果说用户禁止cookie，不是有那种“本网站需要开启cookie”的提示吗？

Answer 1

个人认为 放url 放 cookie 放 header 都一样, 最多只是看起来安全一些, 
具体放哪, 我觉得主要是配合后台的认证架构设计.