Bearer Token
一种HTTP身份认证方案，令牌存储在前端应用内存或本地存储中，通过Authorization请求头显式传递，不依赖浏览器自动管理，常用于API身份验证和单页应用会话管理
时间轴 (近 90 天)
传统 Bearer Token 存在弱点：令牌一旦被窃取，任何持有它的一方都能冒充合法客户端发起请求
存储在内存中的Token在页面刷新后会丢失，但因XSS攻击无法通过document.cookie或localStorage读取而安全性较高
存储在localStorage中的Token可以在标签页关闭后持久存在，但暴露于XSS风险之下
携带模拟声明的Token保留了审计能力，服务端始终清楚真实操作者的身份
Bearer Token通常存储在前端应用的内存或本地存储中，通过Authorization: Bearer <token>请求头显式传递
推荐为模拟Token设置较短的有效期，并确保管理员的原始Token始终安全保留在客户端
在Bearer Token架构下实现用户模拟应围绕Token本身设计，而非套用Cookie交换思路，并优先选择能嵌入真实操作者声明的方案
Bearer Token模型下退出模拟只需丢弃模拟Token并切回原本持有的管理员Token，退出路径比Cookie方案更安全
全部知识事实 (9)
传统 Bearer Token 存在弱点：令牌一旦被窃取，任何持有它的一方都能冒充合法客户端发起请求
50%待验证Bearer Token通常存储在前端应用的内存或本地存储中，通过Authorization: Bearer <token>请求头显式传递
50%待验证存储在内存中的Token在页面刷新后会丢失，但因XSS攻击无法通过document.cookie或localStorage读取而安全性较高
50%待验证存储在localStorage中的Token可以在标签页关闭后持久存在，但暴露于XSS风险之下
50%待验证Bearer Token模型下退出模拟只需丢弃模拟Token并切回原本持有的管理员Token，退出路径比Cookie方案更安全
50%待验证推荐为模拟Token设置较短的有效期，并确保管理员的原始Token始终安全保留在客户端
50%待验证在Bearer Token架构下实现用户模拟应围绕Token本身设计，而非套用Cookie交换思路，并优先选择能嵌入真实操作者声明的方案
50%待验证携带模拟声明的Token保留了审计能力，服务端始终清楚真实操作者的身份
50%待验证Bearer Token是OAuth 2.0规范中的标准认证方式，任何持有该令牌的请求方都被视为合法用户
50%