「非単一ページ」のフロントエンドアプリケーション用にJSON Webトークンを保存する場所

Question

最近、JWTをauthメソッドとして使用してhapiJSで簡単なREST APIを構築しました。 私は現在、純粋なES6フロントエンドを構築したいと思っていますが、SPAである必要はありません（ただ1つの.htmlファイル以上になります）。

私の質問： ログイン後にJWTを保存する最良の方法は何ですか？ローカルストレージ、Cookie？

Answer 1

クッキーに保存すると、ブラウザは自動的にトークンを要求ごとに送信するため、CSRF攻撃に対して脆弱になります。攻撃のこれらの種類の詳細については、以下を参照してください

https://en.wikipedia.org/wiki/Cross-site_request_forgery

私はのlocalStorageに格納してからリクエストのヘッドを介してトークンを送信することをお勧めします。 注：ブラウザが自動的にこれを行うわけではありません！

例：

x-access-token: Bearer -jwt goes here-