Auth TokenをlocalStorageに入れようが、cookieに入れようがどっちもXSS危険性には無防備（同ドメイン内なら ...） - Qiita

tokenを保存する場所 localStorage cookie cookie (http only) メモリ内 (変数) よく言われるのが JWT tokenをlocalStorageに入れるべきではない ということ。 理由としてはJavascriptで簡単に読めてしまうので、XSSがあった場合意図しないスクリプトを動かされてしまい、結果としてtokenが盗まれるというもの。 対応策として cookie (http only) を色んな所で推奨してる。 https://techracho.bpsinc.jp/hachi8833/2019_10_09/80851 http://cryto.net/~joepie91/blog/2016/06/13/stop-using-jwt-for-sessions/ http://cryto.net/~joepie91/blog/2016/06/19/

[naga_sawa]

コメントでも指摘されているけれどもこの攻撃を成立させるにはドメインも乗っ取る必要があるような

[ockeghem]

元動画が絶賛コメントに満ちているのを見て、ウェブが分かっていない人が多いのは洋の東西を問わないのだなとあらためて思った

[northlight]

結論はcookie http only なら okなの？ この辺、ベストプラクティスちゃんと出してほしいなあ…不確かな情報多すぎてわからない…

[ys0000]

あとでみる。ブコメから察するに誇張らしいけど。

[stk132]

chromeのSameSite属性のデフォルト値の変更があったばかりなのに、早とちりすぎでしょ。タイトルも修正しとけよ