Di mana menyimpan JWT: localStorage vs cookie

• localStorage: mudah dipakai tetapi dapat dibaca JavaScript, sehingga rentan XSS — skrip yang disuntikkan bisa mencuri token.
• Cookie HttpOnly: tidak dapat dibaca JavaScript sehingga tahan XSS, tetapi dikirim otomatis, jadi butuh pertahanan CSRF (SameSite / token CSRF).
• Disarankan: simpan refresh token di cookie HttpOnly, Secure, dan SameSite, serta access token sebentar di memori (variabel).
• Di mana pun disimpan, HTTPS wajib; jaga masa hidup token pendek dan jangan pernah taruh data sensitif di payload.

Terkait