在前后端分离的项目中，应该将用户的登录 token 存放在哪里？请比较 Vuex、localStorage 和 sessionStorage 等方案的优缺点。

回答思路

1. 能说明 Vuex 用于内存状态、localStorage 持久化的区别
2. 能指出 XSS 攻击下 localStorage 的风险与对策
3. 能讨论刷新后 token 失效与持久化的平衡
4. 能给出推荐方案（如内存 + 持久化刷新机制）