Где лучше хранить Token

Лучше хранить токен в HttpOnly куках с флагом Secure (для HTTPS) и SameSite=Strict/Lax. Это защищает от XSS-атак, так как JavaScript не может получить доступ к таким кукам.

Альтернативы:

• LocalStorage/SessionStorage – уязвимы к XSS, но удобны для SPA.
• Память приложения (JS-переменная) – безопаснее, но исчезает при перезагрузке страницы.

Пример настройки куки на сервере (Node.js):

res.cookie('token', 'your_token', {
  httpOnly: true,
  secure: true,
  sameSite: 'strict',
  maxAge: 86400000 // 1 день
});

Если API требует токен в заголовке Authorization, его можно извлечь из куки на сервере или передать через прокси.