JWT token 存储在 Cookie 和 LocalStorage 中分别有什么安全差异？

回答思路

1. 说明 Cookie 自动携带与同源策略
2. 对比 LocalStorage 的 XSS 读取风险
3. 讨论 CSRF 防护与 HttpOnly、SameSite 属性