5

Temos um projeto e vamos usar um token de autorização, estamos usando AngularJs para o front end e o back desenvolvemos em Java usando Spring Framework e Spring Security, e enviar o token pelo header.


Mas a minha dúvida é:

Qual o melhor lugar para armazenar o token de autorização na parte do cliente, Local Storage ou em Cookies e qual a diferença entre os dois?

1

1 Resposta 1

4

Depende!

Com os cookies, você não precisa se preocupar em enviar o token a cada request, pois o navegador se encarrega disto e de outras coisas, como:

  • enviar o cookie apenas para o domínio no qual ele foi permitido;
  • controle do tempo de expiração;
  • você pode ter diferentes cookies enviados por path, dentro do mesmo domínio;

O Cookie tem limitações de tamanho (4 KB) quando comparado ao localStorage (5MB), mas para armazenar tokens isto não será um problema.

Mas se estiver trabalhando com OAuth, por exemplo, que comumente exigirá de você o controle de dois tokens (o token da autorização e o token de renovação) e as vantagens do Cookie não forem relevantes no seu contexto, o melhor é concentrar ambos no localStorage, por uma questão de organização.

Esta seria minha posição pensando na implementação. Existem questões de segurança de cada solução que devem ser levadas em conta também, pois ambas soluções são vulneráveis para alguns tipos de ataque (XSRF, XSF e XSS).

3
  • É uma autenticação sem oAuth, você acha mais vantajoso então utilizar cookies? Na verdade deveríamos ter pensado na autenticação no inicio do projeto, estamos mexendo agora e tomando cuidado para não comprometer o que temos pronto Commented 28/10/2016 às 11:27
  • 1
    @FelipePaetzold, de modo geral, acho sim. Se prevê precisar de flexibilidade no futuro, pense com carinho no localStorage. Existem questões de segurança envolvidas também (pesquisa por XSRF, XSF e XSS) para cada solução, e o Cookie acaba sendo mais vulnerável. Você precisa entender seu contexto para saber o que será melhor :)
    – Dherik
    Commented 28/10/2016 às 11:37
  • Certo, ajudou bastante obrigado (: Commented 28/10/2016 às 11:45

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .