Каким способом и почему следует передавать токен в запросе?

Способ передачи задаёт схема безопасности: bearer обычно передают в Authorization, сессионную cookie — через браузер; оба требуют HTTPS.

Не помещайте секрет в URL и не выводите его в логи. Header не отправляется автоматически как cookie, но доступный JavaScript токен подвержен XSS. Cookie с HttpOnly защищает от чтения скриптом, однако требует учёта CSRF и области действия.