Как хранить oAuth2 token без пина юзера?

Question

[Ross Alex]

Приветствую!

Есть 2 токена от oAuth2: access и refresh. Можно сделать AES с солью в виде user-pin 4 цифры и положить в localStorage/IndexedDB, а потом спрашивать пин у юзера, как только нужна расшифровка (если нет в памяти расшифрованного access). Но вопрос в следующем: как защитить token, если без пина? Запрашивать соль у сервера?

Спасибо за советы