Можно ли хранить токен в Cookies

Да, токен можно хранить в Cookies, но с учетом мер безопасности:

1. Устанавливайте флаг HttpOnly - предотвращает доступ к кукам через JavaScript (защита от XSS).
2. Используйте флаг Secure - передача только по HTTPS.
3. Указывайте SameSite=Strict или Lax - защита от CSRF-атак.
4. Устанавливайте разумный срок жизни (Expires/Max-Age).

Пример установки безопасной куки на сервере (Node.js):

res.cookie('token', 'your_jwt_token', {
  httpOnly: true,
  secure: true,
  sameSite: 'Strict',
  maxAge: 3600000 // 1 час
});

Альтернатива - хранить токен в localStorage (более уязвим к XSS, но защищен от CSRF). Выбор зависит от требований безопасности приложения.