w3c规定，当请求的 header 匹配以下不安全字符时，将被终止：

  Accept-Charset
  Accept-Encoding
  Connection
  Content-Length
  Cookie
  Cookie2
  Content-Transfer-Encoding
  Date
  Expect
  Host
  Keep-Alive
  Referer
  TE
  Trailer
  Transfer-Encoding
  Upgrade
  User-Agent
  Via

所以报 Refused to set unsafe header "Cookie" 原因是w3c中不允许手动设置cookie。
所以如果想设置 Cookie，可以换个角度，将 Cookie 的内容放到 Authorization 里，让后端从这个值里面获取数据即可。