Acredito que estou de paranoia, mas não consegui achar nenhuma situação similar a minha (se souber me passe o link, fico grato) então queria fazer essa pergunta para obter uma resposta definitiva.
Antes da pergunta algumas informações sobre a nossa infraestrutura:
Minha empresa é quem mantém o Authorization Server, os Resource Servers e os Clients.
Podem haver Clients de terceiros, mas serão restritos a alguns Resources Servers.
Um pouco de Historia:
Recentemente decidimos implementar SSO (Single Sing On) com OAuth2 nos sistemas da minha empresa.
Já tenho um Authorization Server feito com Spring Boot e configurei algumas dos nossos sistemas antigos que ainda usavam Springframework 3.x + JSF como Client, e até ai está tudo funcionando corretamente.
Atualmente estamos no processo de criar um novo frontend em ReactJS para eventualmente depreciar o JSF (por isso tive que fazer o frontend separado do backend).
Minha estratégia foi criar uma api como um Resource Server junto com o Client (JSF) para que os dois compartilhem o lógica de negocio (assim os desenvolvedores que ainda não se familiarizaram com o react podem continuar dando manutenção nas telas em JSF e enquanto isso migramos para o react de pouquinho em pouquinho).
O Problema:
Para fazer o login, eu redireciono o usuário para uma url publica do Resource Server que redireciona o usuário novamente para o Authorization Server com as credenciais do Client (que ficam ocultas dentro do resource server) e depois que o usuário faz o login, todo o processo de obter o response code e trocar pelo access token é feito no backend, no final o usuário é redirecionado de volta para o frontend em react com o token de acesso dentro de um cookie (optei por um cookie em vez de mandar na url apenas para esconder do usuário).
Minha preocupação é que eu tenho que manter o token de acesso no Cookie com httpOnly=false tanto para que eu possa identificar no frontend que o usuário esta logado como também para envia-lo no header Authorization das requisições para o resource server.
Uma das recomendações que mais encontrei para aplicações em ReactJS com login em OAuth2 foi criar um backend para controlar as sessões e guardar o access token no backend, mas todos esses casos são quando o Client utiliza um login social como o do Google, Facebook ou Twitter e não um próprio, ou seja, ele tem que ter um backend para manter as credenciais do Client. Além de que me parece redundante ter criar um backend apenas para esconder token do oauth com o que vai ser essencialmente outro token para identificar a sessão.
TL;DR:
Existe algum perigo em manter apenas o Access Token do OAuth2 dentro de um cookie sem a flag httpOnly?
E se sim, como posso evitar esses perigos?
No meu ponto de vista só é necessário proteger as credenciais do client, afinal, se o usuário tem algum software malicioso no computador dele ou está acessando nosso sistema partir de uma iframe em um site forjado que pode roubar o token armazenado no cookie ou localStorage, o que impede esse mesmo software/site de roubar a senha que o usuário digitou no browser?
Authorization
da requisição? Todos os cookies do cliente são enviados ao servidor que os gerou em todas as requisições. Você precisa de toda essa segunrança? Alguém realmente pode forjar um site falso com um iframe ou criar um malware (ou algo assim) pra tentarem burlar seu site? Se sim, então você provavelmente precisa de uma aplicação desktop e não web, onde opde ter mais controle do cliente