Где безопаснее всего хранить JWT-токены Json Web Tokens на стороне клиента?

Вы не можете с уверенностью сказать, что файлы cookie предпочтительнее localStorage. Это действительно зависит от того, как вы реализуете свое приложение, какой фреймворк вы используете и что именно вы хотите сделать. позвольте мне описать это более точно.

Cookie с httpOnly:

Cookies, when used with the HttpOnly cookie flag, are not accessible through JavaScript.

Когда вы сохраняете свой токен jwt в cookie и устанавливаете его через HTTP-запрос set-cookie в браузере, браузер будет отправлять эти учетные данные при каждом запросе. Конечно, вы можете защитить его, применив для этого файла cookie флаг httpOnly и secure. Так что никакой javascript не получит к нему доступа. Но проблема в том, что вы открываете шанс атакам CSRF.

Когда токен сохраняется в файле cookie, браузер автоматически отправляет его вместе с каждым запросом в тот же домен, и он по-прежнему уязвим для атак CSRF.

localStorage:

On the other hand, jwt tokens are sent in Authorization header in each request. So browser doesn't set it automatically in your requests. it should be set on each request via javascript on client-side.

В основном, поскольку браузер не добавляет автоматически к каждому запросу, по умолчанию он не уязвим для CSRF.

Но проблема возникает, когда ваш клиентский код уязвим для XSS. В этом случае, поскольку вы храните свои учетные данные в localStorage, злоумышленник будет иметь полный контроль над клиентской стороной и может делать все, что угодно. Разница в хранении в cookie заключается в том, что злоумышленник не знает точное значение cookie, которые хранятся с флагом httpOnly. Но он мог отправлять запросы с этими заголовками http.

Так что, на мой взгляд, это зависит от следующих ситуаций:

• вы хотите сохранить токены jwt в localStorage, убедитесь, что вы проверили все свои входные данные и подтвердили их. Используйте фреймворк, который не уязвим для XSS (конечно, фреймворк не может этого утверждать, но хотя бы используйте тот, который не сообщал о CVE в последнее время). Также всегда обновляйте свои клиентские коды. Реализуйте все концепции безопасности, такие как csp и ... Также знайте, какой CDN вы используете, и будьте осторожны с тем, какую библиотеку вы используете.

• вы предпочитаете использовать печенье и устанавливать учетные данные через cookie в браузере. Затем будьте осторожны, применяя методы защиты от csrf. всегда используйте https и установите флаг secure. будьте осторожны с атаками, которые существуют на cookie, такими как атаки на поддомены и атаки посредника. Также Django использует два классных метода для обработки этой ситуации: (Об этом подробнее здесь)

  • Двойная отправка файла cookie
  • Токен синхронизатора

заключительное примечание: Я не думаю, что есть общее решение по этой теме, и кто-нибудь может предложить, основываясь на его экспериментах и ​​знаниях. Кстати, я предпочитаю localStorage для хранения учетных данных, полученных от Rest API.. Но я действительно был бы рад, если бы кто-нибудь мог поправить меня для лучшего решения.