在哪里存储访问令牌以供前端使用

Question

我有一个带有 Web 应用程序和REST API.

两者都通过openid连接在Liberty server. api 接受访问令牌进行身份验证。Web 应用程序并不完全是前端，所以我需要自由来处理身份验证。

我正在考虑将访问令牌存储在 cookie 中，并让前端读取 cookie 并将令牌添加到任何 api 调用中。有更好的选择吗？

使用 javascript 可读 cookie，我需要小心XSS.

Answer 1

您可以根据需要使用本地存储或会话存储。如果您只想为该会话存储它，您可以使用会话存储，其中当您想要长期存储时使用本地存储。