Как правильно хранить Token во Frontend

Хранить токены безопасно во фронтенде можно несколькими способами:

1. HttpOnly Cookies - самый безопасный вариант. Токен автоматически прикрепляется к запросам и недоступен из JavaScript, что защищает от XSS-атак.

// Сервер должен установить cookie с флагами:
Set-Cookie: token=abc123; HttpOnly; Secure; SameSite=Strict

2. SessionStorage - очищается при закрытии вкладки, защищает от CSRF, но уязвим к XSS.

sessionStorage.setItem('token', 'abc123');

3. LocalStorage - сохраняется между сессиями, но уязвим к XSS. Не рекомендуется для хранения критичных данных.

4. In-memory (переменная JS) - самый безопасный от XSS, но токен теряется при обновлении страницы.

Дополнительные меры безопасности:

• Всегда используйте HTTPS
• Устанавливайте короткий срок жизни токена
• Реализуйте механизм refresh токенов
• Используйте CSRF-токены при работе с cookies