Почему токен лучше сохранять в куки, а не в localStorage или sessionStorage

Что проверяют

Отличаете ли вы «защищено от кражи токена» от «защищено от атаки». Ответ «в куки безопаснее» без оговорок тянет уточнение: а от CSRF что защитит и почему при XSS всё равно плохо.

Как отвечать

Разница в том, кто имеет доступ к хранилищу. localStorage и sessionStorage читает любой скрипт страницы, включая транзитивную зависимость из npm. Куку с HttpOnly JavaScript не видит вовсе, и токен не выгрузить на чужой сервер.

• атрибуты: HttpOnly закрывает доступ из скрипта, Secure разрешает отправку только по HTTPS, SameSite=Lax (по умолчанию в Chrome и Edge) отсекает межсайтовую отправку, Path сужает область видимости, префикс __Host- запрещает подменить куку с поддомена;
• цена куки это CSRF: браузер шлёт её автоматически, поэтому для изменяющих запросов нужны SameSite плюс CSRF-токен или проверка Origin на сервере. У localStorage такой проблемы нет: заголовок ставит сам код;
• честная граница: HttpOnly не спасает от XSS как такового: внедрённый скрипт всё равно сделает запрос от имени пользователя, просто не унесёт токен наружу. Первый рубеж это Content-Security-Policy и отказ от вставки чужого HTML, куки лишь снижают ущерб;
• рабочая схема: короткоживущий access-токен в памяти вкладки (переменная, не хранилище), refresh-токен в куке HttpOnly; Secure; SameSite=Lax с узким Path вроде /auth/refresh и ротацией при обновлении. Либо BFF, который держит сессию у себя и отдаёт браузеру сессионную куку;
• межсайтовость: если фронтенд и API на разных доменах верхнего уровня, кука становится сторонней и её режут. Лечится общим доменом (app.example.com и api.example.com), credentials: 'include' и корректным CORS, а не переездом в localStorage.

Где спотыкаются

Говорят, что HttpOnly защищает от XSS. Он защищает значение от кражи, но не мешает атакующему действовать в уже открытой сессии.

Ставят куку из JavaScript через document.cookie и считают это защитой. Такая кука по определению не HttpOnly, преимущество исчезло.

Забывают про CSRF при переезде из localStorage в куки. Схема стала уязвима к тому, чего раньше не было, и SameSite с проверкой Origin нужны в том же изменении.