認証トークンをWeb Storageに保存して良いか？ - Qiita

はじめに XSSへの対策を考えたとき、認証トークン(JWTを想定)をどこに保存すべきかの検討メモです。 なおXSS攻撃の場面は以下を想定しています。 なお私は元々、こう思ってました Cookie??ダサくね?よくわからんけど危なくない？ Web Storageって最近の仕様なんでしょ？同一オリジンポリシーあるし大丈夫でしょ ですが、そうでもないことが分かり、自戒を込めてメモを残す次第です。 結論 先に結論を示します。 以下の順でXSS攻撃に対してセキュアと結論づけました。 ただし、あくまでXSS攻撃に対するセキュア度を述べただけで、必ず1.を採用すべきという訳ではないと思っています。 HttpOnly, Secure属性をつけたcookieに保持する(場合によってdomain, path属性もつける) in-memoryで保持する Web Storageに保持する HttpOnly, Se