Где рекомендуется хранить access token и refresh token и почему?

Хранение токенов — один из самых критичных аспектов frontend-безопасности.

Хранение access token

Рекомендуемые варианты:

• В памяти приложения (state, closure)

• В runtime-переменной

Почему так:

• Минимальный риск утечки

• Токен очищается при перезагрузке страницы

• Подходит для короткоживущих токенов

Нежелательные варианты:

• localStorage

• sessionStorage

Причина — уязвимость к XSS-атакам.

Хранение refresh token

Наиболее безопасный вариант:

• httpOnly cookies

Преимущества:

• Недоступен из JavaScript

• Защищён от XSS

• Автоматически отправляется браузером

Дополнительные флаги:

• Secure

• SameSite

Почему нельзя хранить оба токена в одном месте

Если злоумышленник получит:

• access token → временный доступ

• refresh token → постоянный доступ

Разделение хранения снижает последствия атак.

Вывод:
Access token лучше хранить в памяти, refresh token — в httpOnly cookies. Это считается наиболее безопасной и практичной схемой для SPA.