由于后端平台为多端，需要对请求进行 nonce 值控制，以及 CSRF 和 CORS 等情况，小程序中不方便每次请求都从 Cookie 或其它地方获取该值，沟通后建议将 code 值放入 HTTP Authorization 传送，不知是否可行，是否会有非法字符 or 特殊字符（比如 ,）导致有问题？

相当于 HTTP Authorization 同时承载 Basic Bearer WE-CODE 三种前缀。有同行有相关经验吗？