前端存 Access Token 到底该用 localStorage 还是 cookie？
最近在做登录功能，后端返回了 Access Token，但我不确定该存在哪。听说 localStorage 容易被 XSS 攻击，但用 cookie 又怕 CSRF，到底怎么选才安全？
我试过把 token 存 localStorage，像这样：localStorage.setItem('token', res.token)，但同事说这不安全。如果改用 cookie，是不是得加 HttpOnly 和 SameSite？可那样前端又读不到 token 了，咋办？
- 1
回答
48浏览
Access Token 存储在 LocalStorage 安全吗？遇到跨域请求被泄露怎么办？
我在做用户登录功能时把 Access Token 放在了 LocalStorage，但测试跨域请求时突然出现错误：“Failed to load resource: Preflight respons...
- 2
回答
58浏览
前端用localStorage存Refresh Token被恶意调用，怎么防？
我在项目里用JWT方案，把Refresh Token存在localStorage里，但测试时发现如果前端页面被XSS攻击，Refresh Token会被直接窃取。虽然Access Token设置了短时...
- 1
回答
20浏览
前端用OAuth2.0登录时，如何安全地处理access_token？
我正在用Vue做第三方登录，后端用的是OAuth2.0授权码模式。现在的问题是，拿到access_token之后，不知道该存在localStorage还是cookie里，听说都有安全风险。而且我试过把...
- 2
回答
84浏览
CSRF Token验证时，表单提交的Token和Cookie里的不一致怎么办？
我在用CSRF Token防护登录表单，后端每次响应头都带了Set-Cookie: csrfToken=xxx，前端用JavaScript读取cookie里的值，然后塞到表单的隐藏字段里： docum...
- 2
回答
39浏览
Double Submit Cookie的token怎么传到请求头里？
我按照文档做了Double Submit Cookie防护，但测试时发现后端收不到CSRF-TOKEN的请求头，只能拿到cookie里的值。这是为什么啊？ 我的登录表单这样写的： document.c...
- 2
回答
68浏览
CSRF防护中，为什么我的前端生成的Token无法被后端正确验证？
我按照教程给表单请求加了CSRF防护，前端用UUID生成token存到cookie和隐藏字段里，但后端验证时总提示不匹配。明明都按文档做了，但验证还是失败，哪里出问题了？ 前端代码这样写的： // 生...
- 2
回答
92浏览
前端POST请求被漏洞扫描工具标记CSRF漏洞，但后端已加防伪cookie该怎么办？
我在开发登录功能时，前端用axios发送POST请求，后端已通过nginx设置了Csrf-Token cookie且验证了请求头中的token。但最近漏洞扫描工具提示"缺少CSRF防护"，明明后端已经...
- 1
回答
29浏览
前端设置的Cookie需要加密吗？怎么防窃取？
我在做登录功能，后端返回 token 后我用 JS 存到 Cookie 里，但听说 Cookie 容易被 XSS 偷走，是不是得加密？可前端加密好像也没用啊，密钥放哪都不安全…… 现在代码是这样存的：...
- 1
回答
19浏览
前端怎么安全地处理 CSRF Token？
我在做登录功能时，后端要求每次请求都要带 CSRF Token，但我把 token 存在 Cookie 里，又怕被 XSS 攻击偷走。试过用 HttpOnly 的 Cookie，但前端又读不到 tok...
- 2
回答
61浏览
前端用JWT时，如何防止Token被XSS攻击窃取？
我在项目里用localStorage存JWT token，但同事说这样容易被XSS攻击，我试过把token加密存进去，但后端验证时解密失败了。现在改成用httpOnly的cookie，但axios发请...
暂无解答