É interessante você levantar estas duas situações:
- O armazenamento em cookie, vulnerável a CSRF, e também possui uma lista gigante de opções para se prevenir (porém, utilizar cookies é desencorajado pela especificação)
- O armazenamento via local storage / secure storage, que é vulnerável a XSS, e que também possui uma lista gigante de opções para se prevenir
Existem dois detalhes importantes na sua implementação:
- Sua escolha por deixar
httpOnly
desabilitada automaticamente lhe deixa vulnerável a ataques XSS
- Talvez a essência do
Bearer Token
não esteja sendo levada em consideração totalmente
Pense que o Bearer Token
(ou token do portador) é a autorização do usuário, com este token sua aplicação entende que o usuário portador é de fato quem se diz ser.
Mas por que o token é confiável?
Para você entregar o token para alguém, ele provou ser quem ele diz para o servidor de autorização através de suas credenciais (clientId
e secret
).
No caso de um JWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.
É um problema deixar o token em local aberto suscetível a ataques?
Sim! De fato, é um grande problema, caso algum atacante consiga o token do seu cliente, ele conseguirá se passar por ele sem nenhum problema.
Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token Usage:
Cookies are typically transmitted in the clear. Thus, any
information contained in them is at risk of disclosure. Therefore,
bearer tokens MUST NOT be stored in cookies that can be sent in the
clear. See "HTTP State Management Mechanism" [RFC6265] for security
considerations about cookies.
...
Don't store bearer tokens in cookies: Implementations MUST NOT store
bearer tokens within cookies that can be sent in the clear (which
is the default transmission mode for cookies). Implementations
that do store bearer tokens in cookies MUST take precautions
against cross-site request forgery.
Mas e agora o que eu faço eu acho que tudo é inseguro irei me desligar da internet
Para nossa alegria, o pessoal que criou o framework OAuth2 nos deu muito material relacionado a segurança.
Você pode ler as considerações de segurança na RFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).
Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750 são:
- Armazenar os tokens em lugar seguro
- Validar a cadeia de certificados TLS dos envolvidos
- Sempre utilizar TLS / HTTPS
- Não armazenar Bearer Tokens em cookies sem os devidos cuidados
- Prover data de validade para os tokens
- Prover escopo de atuação para os tokens
- Não passar tokens na URL das aplicações
Em resumo
Implementar um framework de autorização como o OAuth2 é um pouco mais complexo que apenas gerar e receber tokens como você pode ver.
Como demonstrei nas especificações, tanto o cookie quanto o local storage possuem considerações de segurança, e você deve pesar qual o custo de prevenção de cada solução. Existem formas de se prevenir contra possíveis ataques para os dois casos (um bom artigo comparando as duas formas é este aqui).
Recomendo você ler as RFCs que mencionei na resposta, elas possuem um ótimo material, bem como exemplos de ataques e prevenções.