Где хранится токен

Токен обычно хранится на клиенте в одном из мест:

1. LocalStorage – сохраняется после закрытия браузера, но уязвим к XSS-атакам.

localStorage.setItem('token', 'your_token_here');

2. SessionStorage – очищается при закрытии вкладки, также уязвим к XSS.

3. HttpOnly Cookies – защищён от XSS (недоступен через JS), но может быть подвержен CSRF (защита – SameSite атрибут).

// Сервер должен установить куку с флагом HttpOnly

4. Память приложения (например, переменная в JS) – исчезает после перезагрузки страницы, но безопаснее, так как не сохраняется.

Оптимальный вариант: комбинация – краткосрочный токен в памяти, долгосрочный в HttpOnly куке с флагами Secure и SameSite=Strict.