0

Небольшое предисловие.

Если фронтенд и бэкенд приложения. Бэкенд приложение написано на django с использованием rest framework. Для аутенфикации и авторизации используются токены. Собственно при login клиент запрашивает токен, получает его в теле ответа в json формате. Данный токен я ставлю в заголовок для запросов на бэк и записываю в localStorage, дабы пользователь после закрытия браузера и повторного входа на страницу не вводил пароль. Собственно начитался статей, какой lockalStorage ненадежный в плане XSS атак, и что лучше бы использовать cookie.

Дальше непосредственно вопрос.

Переписывать бэк чтобы токен подставлялся в cookie у меня нет никакого желания, да и используются там сторонние библиотеки, так что хотелось бы писать что либо самому. Появилась мысль подставлять cookie через js на клиенте, так же как с localStorage, но опять же теперь есть опасения что токен будет уязвим так же к XSS как и с localStorage. Вот я и думаю, стоит ли морочиться и пытаться подставить токен в куки на фронте, или оставить в localStorage. Или взять себя в руки и переписать бэк, чтобы он токен подставлял в http заголовок? Если у вас есть какие то мысли по данному поводу, или статьи, с радостью прочитаю и пообщаюсь на данную тему :)

5
  • А если вы перепишите бек и он будет вставлять в http заголовок, то это будут точно те же самые куки. А дайте статью, где написано про XSS с localStorage. 24 апр 2020 в 4:21
  • m.habr.com/ru/post/349164 @StepanKasyanenko
    – Andrey RF
    24 апр 2020 в 8:19
  • Как я понял, особой разницы нету. 24 апр 2020 в 10:08
  • Та я тоже ознакомился с информацией, и ответом на английском stackoverflow, куки файлы тоже уязвимы, ии тут уже стоит вопрос безопасности машины клиента больше. Вообщем идею я расписал в ответе, так что я с тобой согласен)
    – Andrey RF
    24 апр 2020 в 10:10

1 ответ 1

0

Достаточно исчерпывающий ответ на мой взгляд был дан на этот же вопрос на английской версии stakoverflow. Краткая суть в том что localStorage и cookie одинаково уязвимы вредоносными программами и расширениями на стороне клиента. Выбирать нужно исходя из логики, если нужно токен часто слать на бэк, то лучше использовать куки, если нет, то тогда стоит хранить в localStorage. Оригинальный ответ

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.