cookie和token都存放在header中，为什么不会劫持token？

浏览器发送请求的时候不会自动带上token，而cookie在浏览器发送请求的时候会被自动带上。

csrf就是利用的这一特性，所以token可以防范csrf，而cookie不能。

JWT本身只关心请求的安全性，并不关心toekn本身的安全。