Где хранить токен с ограниченным permission

Лучше всего хранить токен с ограниченными правами в HttpOnly, Secure куках с ограниченным сроком жизни. Это защищает от XSS-атак (из-за HttpOnly) и CSRF (если добавить SameSite=Strict).

Пример настройки куки на сервере (Node.js):

res.cookie('access_token', token, {
  httpOnly: true,
  secure: true,
  sameSite: 'strict',
  maxAge: 3600000 // 1 час
});

Альтернативы:

• sessionStorage – если нужен доступ из JS, но очищается при закрытии вкладки.
• localStorage – не рекомендуется, так как уязвим к XSS.

Для CSRF-защиты можно дополнительно использовать CSRF-токены в заголовках.