凭证由服务端校验，登录状态存在 HttpOnly cookie 中，有效期一年。