Wo ein JWT speichern: localStorage vs. Cookie

• localStorage: einfach zu nutzen, aber von JavaScript lesbar und daher XSS-anfällig — ein eingeschleustes Skript kann das Token stehlen.
• HttpOnly-Cookie: JavaScript kann es nicht lesen, es widersteht XSS, wird aber automatisch gesendet, daher CSRF-Schutz nötig (SameSite / CSRF-Token).
• Empfohlen: das Refresh-Token in einem HttpOnly-, Secure- und SameSite-Cookie, das Access-Token kurz im Speicher (einer Variable).
• Wo auch immer Sie es speichern: HTTPS ist Pflicht; halten Sie Laufzeiten kurz und legen Sie nie sensible Daten in die Payload.

Verwandt