优点：无状态、跨域方便。

缺点：无法主动失效、体积大、要防泄露。

我的方案：短有效期 access + 长期 refresh，重要操作再校验密码。