結果 : cookie vs authorization header