javascript - res.header(x-auth, JWTtoken) 和 res.cookies(JWTtoken) 的区别？

Question

我在所有博客和文章中看到的是，有两种处理方法JWTtokens，将它们放入localStorage其中受到XSS攻击或放入其中Cookies并设置httpOnly和secure标记以避免XSS。

使用 localStorage 对于对服务器的每个请求，您都可以从中提取token并手动localStorage附加它。Authorization : Bearer <Token>

使用 Cookies 它是在服务器端处理的，因为它不会被JS客户端访问，你所做的是res.cookies(token)，它将为每个后续调用自动发送，不像localStorage

但最近我看到一些开发人员只是token将res.headers('x-auth', token).

1. 它是处理 JWT 的第三种方式吗？
2. X-Auth 标头是否会像 cookie 一样自动为服务器的每个后续请求设置，或者您必须手动设置它（例如在 localStorage 的情况下）？
3. JS 不能访问 X-Auth 标头中的令牌并像 cookie 一样安全吗？
4. 以你的方式做 res.header('X-auth') 和 res.cookie(token) 有什么区别？
5. 最后，如果我的 API 被 ReactJS Web 应用程序和 react-native 移动应用程序使用，那么最好的方法是什么？

谢谢

标签： javascripthttpauthenticationcookiesjwt