会话凭据只保存在 HttpOnly Cookie 中，不写入浏览器本地存储。