前端怎么保存登录状态比较好

Question

先登录，登录成功后获取到token，很多人说localstorage和sessionstorage不安全，那么这个token放在哪里比较好？

cookie好像也能被篡改，即使设了http-only

Answer 1

其实放localstorage和sessionstorage很好啊，两个配合起来用更好。cookie一般不建议，有几个问题：

• crsf攻击，这种攻击现在较少；
• 存储容量小，稍微大点，还会降低http请求效率，会自动添加到头部；

如果也想实现过期时间设置，其实可以基于localstorage做一层封装，让其支持过期时间设置，方案很多。如果考虑会被人篡改，那可以考虑前端自己做一个对称加解密。

但记住，高手想黑你，一个前端根本不是对手。

Answer 2

1: 前端追求安全本就不需要太苛刻
2: 对重要信息要有二次校验, 为重要信息添加时效性
结论: 放在storage即可, 但是这个token一定不可以是重要的token, 比如充值或是修改重要信息的事件, 这些都需要二次校验, 咱们前端的安全措施都是纸糊的而已.

Answer 3

前端就保存在localstorage就可以了，前端主要就是一个过滤，主要的校验还是后端来完成