Можно ли хранить refresh token в local storage

Хранение refresh token в localStorage небезопасно, так как он уязвим для XSS-атак (злоумышленник может получить доступ через JavaScript). Лучше использовать httpOnly cookies с флагами Secure и SameSite=Strict для защиты от CSRF.

Пример безопасной настройки cookie:

// Сервер должен установить cookie с такими параметрами
Set-Cookie: refreshToken=abc123; HttpOnly; Secure; SameSite=Strict; Path=/auth/refresh

Альтернативы:

• Использовать короткоживущие access token (JWT) + долгоживущий refresh token в httpOnly cookie
• Реализовать silent auth через iframe/специальный endpoint

Если всё же используете localStorage:

• Минимизируйте срок жизни refresh token
• Реализуйте механизм отзыва токенов
• Добавьте проверку IP/user-agent при обновлении токена