Depende!
Com os cookies, você não precisa se preocupar em enviar o token a cada request, pois o navegador se encarrega disto e de outras coisas, como:
- enviar o cookie apenas para o domínio no qual ele foi permitido;
- controle do tempo de expiração;
- você pode ter diferentes cookies enviados por
path
, dentro do mesmo domínio;
O Cookie tem limitações de tamanho (4 KB) quando comparado ao localStorage (5MB), mas para armazenar tokens isto não será um problema.
Mas se estiver trabalhando com OAuth, por exemplo, que comumente exigirá de você o controle de dois tokens (o token da autorização e o token de renovação) e as vantagens do Cookie não forem relevantes no seu contexto, o melhor é concentrar ambos no localStorage, por uma questão de organização.
Esta seria minha posição pensando na implementação. Existem questões de segurança de cada solução que devem ser levadas em conta também, pois ambas soluções são vulneráveis para alguns tipos de ataque (XSRF, XSF e XSS).