O localStorage do navegador (ou armazenamento de sessão) não é seguro. Qualquer dado armazenado pode estar vulnerável a scripts entre sites. Se um invasor roubar um token, ele poderá acessar e fazer solicitações à sua API.
Se o aplicativo tiver um servidor de backend, os tokens devem ser manipulados no lado do servidor usando o fluxo de login da aplicacao Web(
por exemplo: em um servico no backend feito em NodeJS, a validacao do token e feita atraves de um middleware que proteje uma rota caso o token seja invalido ).
Alternativa: cookies. Você também pode usar cookies para armazenar o JWT. A maneira exata de definir um cookie depende da linguagem que você está usando.
Um pouco mais sobre Cookies
Existem diferentes opções para controlar o tempo de vida de um cookie:
Os cookies podem ser destruídos depois que o navegador é fechado (cookies de sessão).
Implemente uma verificação do lado do servidor (geralmente feita por você pela estrutura da linguagem Web em uso) e você poderá implementar a expiração ou a expiração da janela (navegador ao ser fechado).
Os cookies podem ser persistentes (não destruídos após o navegador ser fechado) com uma data de expiração.
Os cookies podem ser lidos pelo código do lado do servidor e do JavaScript ou apenas pelo lado do servidor se o sinalizador httpOnly
estiver definido.
Você pode definir o sinalizador secure = true
para que os cookies só possam ser definidos em uma conexão criptografada.
ATENÇÃO
Desvantagens dos cookies:
O tamanho máximo de um cookie é de apenas 4kb, o que pode ser problemático se você tiver muitas declarações anexadas ao token.
Os cookies podem ser vulneráveis a ataques de falsificação de solicitações entre sites (CSRF ou XSRF). O uso da proteção CSRF de uma estrutura de aplicacao Web torna os cookies uma opção segura para armazenar um JWT.
O CSRF também pode ser parcialmente impedido, verificando o cabeçalho HTTP Referer
e Origin
. Você também pode definir o sinalizador de cookie restrito SameSite = Strict
(saiba mais), onde com esta politica, os cookies nao podem ser enviados para sites de terceiros, o que ajuda a evitar ataques de CSRF.
Pode ser difícil de implementar se o aplicativo exigir acesso entre domínios. Os cookies têm propriedades adicionais (Domínio / Caminho) que podem ser modificadas para permitir que você especifique onde o cookie pode ser enviado.
Referências