結果 : authorization header vs cookie