Где будешь хранить JWT токены

Для хранения JWT токенов есть несколько вариантов:

1. LocalStorage — просто, но небезопасно (XSS-атаки). Пример:

localStorage.setItem('token', 'your.jwt.token');

2. HttpOnly Cookies — защита от XSS, но уязвимость к CSRF. На сервере:

Set-Cookie: token=your.jwt.token; HttpOnly; Secure; SameSite=Strict

3. SessionStorage — токен удалится при закрытии вкладки, но также уязвим к XSS.

Лучшая практика:

• Короткоживущий access-токен в памяти приложения (или sessionStorage)
• Refresh-токен в HttpOnly cookie с флагами Secure и SameSite=Strict

Пример работы с куками на фронте:

// Только для чтения (не для JWT!)
document.cookie = 'safeData=value; Secure; SameSite=Strict';