token 只保存在当前浏览器 sessionStorage，不写入前端源码。正式上线前建议更换一次测试中暴露过的 token。