Где в проекте хранишь refresh token

Refresh token лучше хранить в httpOnly и Secure куках - это самый безопасный способ, так как он недоступен из JavaScript и передается только по HTTPS.

Альтернативно можно использовать localStorage или sessionStorage, но это менее безопасно из-за возможности XSS-атак.

Пример настройки куки на сервере (Node.js + Express):

res.cookie('refreshToken', token, {
  httpOnly: true,
  secure: true,
  sameSite: 'strict',
  maxAge: 30 * 24 * 60 * 60 * 1000 // 30 дней
});

Важные моменты:

1. httpOnly защищает от XSS
2. Secure - только по HTTPS
3. sameSite защищает от CSRF
4. Устанавливайте разумный срок жизни токена