从仅服务器cookie安全地将承载令牌传递到头

有没有办法“安全地”将承载令牌存储在cookies(运行Next.js应用程序的Express服务器的服务器端)中,然后将其作为头的一部分提供,以便它包含在每个Apollo请求中?阿波罗团队有一个使用localStorage的例子,但是没有任何关于从cookie和localStorage中获取它以设置在头文件中的内容。我正在研究这个以减轻XSS。有没有办法在浏览器中不公开令牌的情况下安全地向此代码提供令牌?这似乎已经在多个教程中部分介绍过,但我似乎找不到任何基于此示例的确定代码。

import { ApolloClient } from 'apollo-client';
import { createHttpLink } from 'apollo-link-http';
import { setContext } from 'apollo-link-context';
import { InMemoryCache } from 'apollo-cache-inmemory';

const httpLink = createHttpLink({
  uri: '/graphql',
});

const authLink = setContext((_, { headers }) => {
  // get the authentication token from local storage if it exists
  const token = localStorage.getItem('token');
  // return the headers to the context so httpLink can read them
  return {
    headers: {
      ...headers,
      authorization: token ? `Bearer ${token}` : "",
    }
  }
});

const client = new ApolloClient({
  link: authLink.concat(httpLink),
  cache: new InMemoryCache()
});

我有一个Oauth2服务器,它期望从报头以授权的形式发送一个承载令牌:“承载****”。我只是在寻找最安全的方法来做到这一点,我觉得我从大多数教程中得到的信息相互矛盾。