Где хранить token в Cookie или localStorage

Хранение токена зависит от требований безопасности и сценария использования:

localStorage

• Доступен только на клиенте, не отправляется автоматически на сервер
• Уязвим к XSS-атакам (если злоумышленник внедрит JS-код)
• Пример использования:

localStorage.setItem('token', 'abc123');
const token = localStorage.getItem('token');

Cookie

• Отправляются автоматически с каждым запросом (можно настроить HttpOnly, Secure)
• HttpOnly защищает от XSS (JS не может прочитать такие куки)
• Secure - передача только по HTTPS
• Пример настройки безопасной куки на сервере:

Set-Cookie: token=abc123; HttpOnly; Secure; SameSite=Strict

Рекомендация: Для аутентификации лучше использовать HttpOnly куки с флагами Secure и SameSite. localStorage подходит для данных, не требующих высокой защиты.