在哪里存储访问令牌以供前端使用

Question

我有一个带有网络应用程序和 REST API 的自由服务器。

两者都由 openid 在 Liberty server 上连接保护。 api 接受访问令牌进行身份验证。 Web 应用程序不完全是前端，因此我需要自由处理身份验证。

我正在考虑将访问令牌存储在 cookie 中，让前端读取 cookie 并将令牌添加到任何 api 调用中。有更好的选择吗？

有了 javascript 可读 cookie，我需要小心 XSS。

Answer 1

您可以根据需要使用本地存储或会话存储。如果你只想为那个会话存储它，你可以使用会话存储，其中当你想长期存储时使用本地存储。