Где хранить токены?

Question

[daima]

Есть spa приложение на react, есть refresh token и access token. А вот где их хранить, чтобы не сперли? В куках и локалсторадже ненадежно. В редаксе (сторе) тоже не советуют.

Гуглил - в примерах рассматривают куки, локалсторадж, а в конце пишут, что в серьезных приложениях так делать не стоит:D

Comments

[Роман Александрович]

это где вы прочитали что в сторе не стоит хранить токены?

[deepblack]

Роман Александрович, например тут и еще много где.

[Роман Александрович]

Андрей, и где тут пишут что нельзя хранить в сторе редукса ??

[daima]

Роман Александрович, например, тут

Вот, что ответили автору (гуглоперевод) "Redux сохраняет состояние в объекте JavaScript . Это делает его уязвимым для атаки XSS, как localStorage или sessionStorage. Если вам нужно, чтобы ваш JWT читался на стороне клиента, вы можете свободно использовать Redux, просто убедитесь, что вы правильно позаботились о XSS. Если JWT не требуется на стороне клиента, лучше оставьте его в файле cookie httpOnly и вместо этого обработайте CSRF."

[deepblack]

Роман Александрович, я про Storage (Local|Session).
Видимо прочитал стор как Storage.

Answer 1

[Антон Спирин]

Чтобы не сперли надо решать вопросы безопасности, а хранить можно во всех перечисленных хранилищах.