Зачем хранить JWT в Cookie

Хранение JWT в куках (HTTP-only, Secure) обеспечивает лучшую защиту от XSS-атак, так как JavaScript не может получить доступ к таким кукам. Это также автоматизирует передачу токена при каждом запросе.

Пример:

from flask import Flask, make_response

app = Flask(name)

@app.route('/login')
def login():
response = make_response({'message': 'Logged in'})
response.set_cookie(
'token',
'your.jwt.token',
httponly=True,
secure=True, # Только HTTPS
samesite='Lax' # Защита от CSRF
)
return response

**Плюсы:**  
- Автоматическая отправка с каждым запросом  
- Защита от XSS через `HttpOnly`  
- Удобство (не нужно вручную добавлять токен в заголовки)  

**Минусы:**  
- Уязвимость к CSRF (но решается `SameSite` и CSRF-токенами)  
- Ограничение размера (~4KB)