TA貢獻(xiàn)1876條經(jīng)驗(yàn) 獲得超6個(gè)贊
如果在 cookie 和 localStorage 之間進(jìn)行選擇，那么在安全性方面兩者各有利弊。正確設(shè)置所有安全屬性（HttpOnly、secure、SameSite=strict）確實(shí)可以更好地保護(hù) cookie 免受某些攻擊。
但是，SameSite 屬性可能并不適用于所有人，并且可能無(wú)法保護(hù)所有功能免受 CSRF（跨站點(diǎn)請(qǐng)求偽造）攻擊。
HttpOnly 將保護(hù)該值不被 JavaScript 訪(fǎng)問(wèn)，如果應(yīng)用程序遭受 (XSS) 跨站點(diǎn)腳本漏洞，這是很好的。但是，任何中等資格的攻擊者都可以輕松實(shí)現(xiàn)他們想要的，而無(wú)需訪(fǎng)問(wèn)令牌的實(shí)際價(jià)值。
在 localStorage 中存儲(chǔ)令牌時(shí)要記住的是，當(dāng)瀏覽器關(guān)閉時(shí)它不會(huì)被清除，這意味著用戶(hù)不會(huì)通過(guò)關(guān)閉瀏覽器而注銷(xiāo) - 這是許多人所期望的。如果這是一個(gè)問(wèn)題，您可能需要考慮將 JWT 存儲(chǔ)在 sessionStorage 中。
TA貢獻(xiàn)1712條經(jīng)驗(yàn) 獲得超3個(gè)贊
localStorage 看起來(lái)不錯(cuò)，因?yàn)楹芏嗳硕荚谑褂?localStorage。
如果您想要額外的安全功能您可以縮短令牌的生命周期，例如 {30 min, 60 min}
您還可以檢查您的用戶(hù)活動(dòng)狀態(tài)用戶(hù)是否會(huì)自動(dòng)注銷(xiāo)
舉報(bào)