Где хранится JWT токен

JWT токен обычно хранится на клиентской стороне, чтобы избежать проблем с масштабируемостью и сохранить stateless-архитектуру. Основные способы хранения:

1. LocalStorage – просто, но уязвимо к XSS-атакам.
   js

   Копировать

   localStorage.setItem('token', 'your.jwt.token');

2. HttpOnly Cookies – защищено от XSS, но подвержено CSRF.

   python

   Копировать

   response.set_cookie(
       'token', 
       'your.jwt.token', 
       httponly=True, 
       secure=True,  # Только HTTPS
       samesite='Strict'
   )

3. SessionStorage – аналогично LocalStorage, но очищается при закрытии вкладки.

Лучшая практика: HttpOnly Cookie + CSRF-токен для критичных операций. LocalStorage/SessionStorage подходят для менее важных данных, если риски учтены.

Важно: никогда не храните JWT в базе данных (это нарушает stateless-принцип), кроме refresh-токенов (их можно хранить с ограниченным сроком).