Stocker le JWT dans localStorage, vraiment dangereux ?

Posée par Nina Kowalski·il y a 11 heures· 34 vue(s)

1 réponse(s)

• 2

  Réponse acceptée

  Tout script exécuté sur la page (XSS, dépendance compromise) peut lire localStorage et exfiltrer le token. Un cookie HttpOnly; Secure; SameSite n'est pas lisible par JavaScript. Protégez alors les mutations contre le CSRF (SameSite + en-tête personnalisé ou jeton CSRF).

  SB Sofia Benali · 1310 · il y a 11 heures