Каким способом лучше хранить access и refresh токены?

Question

[Boris007]

Почему-то везде разные примеры и подходы
Одни хранят токены в сессиях, другие в локальном хранилище, но встретил еще http only cookie
Каким способом лучше хранить access и refresh токены?

Нашел статью
https://habr.com/ru/companies/ruvds/articles/512866/
Тут вообще говорят про комбинирование и хранение access токена в приложении, а refresh токен в куках

Comments

[VolgaVolga]

OWASP не рекомендует хранить токены в локальном хранилище. В остальном - очень много дискуссий.

Answer 1

[Everything_is_bad]

Потому что нет "лучшего", там у каждого своим плюсы и минусы, было обсуждение на гитхабе, сейчас наверно уже тысяци комментов