Как хранился токен в последнем проекте

В последнем проекте токен хранился в HttpOnly Secure cookie для защиты от XSS-атак. Дополнительно использовался SameSite=Strict для предотвращения CSRF.

Для мобильных клиентов токен передавался в Authorization header (Bearer схема) и сохранялся в SecureStorage (Android Keystore/iOS Keychain).

Пример для Spring Security:

@PostMapping("/login")
public ResponseEntity<?> login(...) {
    String token = generateToken(user);
    ResponseCookie cookie = ResponseCookie.from("jwt", token)
        .httpOnly(true)
        .secure(true)
        .sameSite("Strict")
        .maxAge(Duration.ofHours(1))
        .build();
    return ResponseEntity.ok()
        .header(HttpHeaders.SET_COOKIE, cookie.toString())
        .build();
}

Важно: Токен имел ограниченный срок жизни (1 час) и обновлялся через refresh-токен.