[qwelukasz]

#angularjs #react #webdev

założmy że mam strone napisana w ng2. Strona z logowaniem itp itd.

Czy przechowywanie tokenu w localStorage to dobry pomysł?

[bonus]

@qwelukasz: W LocalStorage są podatne na atak XSS. Zaleca się trzymanie w Cookies z dodatkowym zabezpieczeniem CSRF. https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

[qwelukasz]

@bonus:

This articles suggest that you shouldn't use localStorage because you will be susceptible to XSS attacks. Instead it tells you to store your JWT token in HttpOnly cookie and CSRF token in a normal cookie so that you can protect yourself from XSS and CSRF.

What this article doesn't tell you is that you are still not protected against XSS because what the attacker can do is inject script that

[npsr]

@qwelukasz imho #!$%@? z tym local storage. Dorzuć footprinty, heartbeata i timeout na sesję i tyle :) No chyba, że pracujesz dla nasa albo w pizzerii #pdk :P

[bonus]

@qwelukasz: Mimo wszystko HttpOnly można włączyć i jest zabezpieczone przed XSS - ta opcja to podstawowy standard bezpieczeństwa. Jeśli chodzi o localstorage, teoretycznie jeśli aplikacja jest dobrze escapowana itd. też zmniejsza się ryzyko. Więc obie opcje mogą być zamienne jeśli są dobrze wykorzystane.