Vue 加 Gin 的專案，登入後常把拿到的 token 直接存進 localStorage。頁面上任何一段被注入的 script 都能把它讀出來送走，之後從別台機器繼續用。這篇給改法：access token 放記憶體、refresh token 放 HttpOnly cookie，也說明改完之後仍然擋不住什麼。
