Autenticación en SPAs (React/Vue): ¿Tokens JWT en localStorage es seguro?

Data

Estoy creando una SPA con Vue y una API de backend. Para la autenticación, el backend genera un token JWT. Mi duda es dónde guardarlo en el frontend de forma segura. He visto mil tutoriales que lo guardan en localStorage, pero también he leído que es vulnerable a ataques XSS (Cross-Site Scripting).

¿Cuál es la práctica recomendada hoy en día? ¿Cookies httpOnly? ¿Guardarlo en memoria de la aplicación?

Sustainable

Nunca, nunca, nunca guardes un JWT en localStorage. Un simple script malicioso en tu página (por ejemplo, de una librería de terceros comprometida) podría robarlo.

La forma más segura es usar cookies httpOnly y secure. El servidor envía la cookie en la respuesta y el navegador la adjuntará automáticamente en las siguientes peticiones a tu dominio. Como es httpOnly, no se puede acceder a ella desde JavaScript, lo que mitiga los ataques XSS.

Data

Entendido. Me sonaba que localStorage no era buena idea, pero quería confirmarlo. Investigaré cómo configurar las cookies httpOnly en mi backend. ¡Gracias!