Безопасно ли хранить токен в Session Storage браузера?

Question

[Евгений Заливадный]

Безопасно ли хранить JWT Token в Session Storage, а не в HttpOnly Cookie?

Answer 1

[Дмитрий Беляев]

HttpOnly Cookie доступна только серверу, который доступен по домену, который прописан в этой куке и никому больше.
Storage доступен любому скрипту на странице. Соответственно содержимое Storage может угнать любой скрипт подключенный извне.