jwtをクッキーに保存してローカルストレージに渡すのは悪いセキュリティですか？

Question

jwtセッションとangularjsで動作するように私のtwitterにサインインするには、twitterのユーザー名と表示名でjwtを作成し、cookieとして渡してローカルストレージに保存しました。ユーザーが

ログインし、クッキーを保存：

app.get('/login/twitter', passport.authenticate('twitter')); 
    app.get('/login/twitter/callback', function(req, res) { 
     passport.authenticate('twitter' , {session: false} , function(err, user, info) { 
      if(err) { 
       console.log(err); 
      } 
      var token; 
      token = user.generateTwitterJwt(); 
      // res.status(200); 
      // res.json({ 
      // "token" : token 
      // }); 
      res.cookie('jwt' , token); 
      res.render('login.jade'); 
     })(req, res); 
    }); 

保存ローカルストレージにクッキーを削除します。ここではいくつかの関連するコードですこれを行うに任意の欠点があるかどう

$scope.twitterTest = function() { 
    var jwtCookie = $cookies.get('jwt'); 
    authenticationService.saveToken(jwtCookie).error(function() { 
     if(err) { 
      console.log(err); 
     } 
    }).then(function() { 
     $cookies.remove('jwt'); 
     var url = '/profile'; 
     $window.location.href = url; 
    }); 
} 

私は思ったんだけど。セキュリティ上の問題はありますか？ jwtとangularjsをlocalstorageプロセスに保存しようとしているのは、ローカルログインを設定する方法なのでです。

Answer 1

localStorageの代わりにbrowser sessionStorageを使用できます。これは、ブラウザセッションの終了時に削除されるため、SessionStorageはより安全です。また、クッキーの代わりに直接sessionStorageに保存すると、この場合クッキーは必要ありません。