localStorage存token有哪些安全问题，如何解决？

Question

localStorage存token有哪些安全问题，这里不使用cookie

Answer 1

Cookie 不也是存浏览器本地吗？它俩一个有浏览器帮你管理、一个是你写代码手动管理，没本质区别。

咋的？Cookie 没安全性问题、到 LocalStorage 里反倒出安全性问题了？

只要浏览器没被木马劫持，存哪都行；被劫持了，存哪都不安全。

如果是为了防爬虫，那根本也不是 Token 的问题。

Answer 2

存在前端的东西都没有安全性可言，所以随便存。如果怕别人看到，加个密也行

Answer 3

token 本身就可以认为是个加密的东西，只要用户名等敏感的东西不要暴露出去就行。后端要做好定时失效机制。

Answer 4

前端存token，使用localStorage还是cookie没有什么安全性可言，可以让服务端做个token超时

Answer 5

https://auth0.com/docs/tokens...

另外哪个大厂会把token存localStorage里（因为很多大厂都不是JWT这样前后端分离的）

如果是前后端分离的token，我想可能还是放在localStorage比较好一点，因为至少跨域请求不会自动带上cookie。

但是如果分离的彻底，主站跟请求地址都不同的话，cookie也没有问题，反而能更好控制失效时间。

Answer 6

可以在前端二次加密，有時候前端登錄註冊也可以加密，token 同理。