Cookies Can'；JSON网络令牌是否容易被盗？

我正在读关于JWTs的书，我真的被一些似乎没有解决的问题弄糊涂了：

什么是阻止恶意网站仅仅包括

localStorage.get ('secretjwt')

在他们的密码里偷你的代币

---

如果您不将其存储为cookie，那么任何人都可以访问它！如果它存储为cookie，那么为什么不使用cookies full-on呢？

cookies和localStorage受策略保护

在计算中，同源策略是web应用程序安全模型中的一个重要概念。根据该政策，网络浏览器允许第一个网页中包含的脚本访问第二个网页中的数据，但前提是两个网页的来源相同。

例如，或无法访问中的存储

---

此外，站点应使用SSL/TLS加密内容并防止令牌被盗

Cookie和localStorage受策略保护

在计算中，同源策略是web应用程序安全模型中的一个重要概念。根据该政策，网络浏览器允许第一个网页中包含的脚本访问第二个网页中的数据，但前提是两个网页的来源相同。

例如，或无法访问中的存储

---

此外，站点应使用SSL/TLS加密内容并防止令牌被盗

话虽如此，一个XSS可用于从localStorage（或sessionStorage或websql或任何类似内容）获取令牌，而不是httpOnly cookie，但情况并非如此。话虽如此，可以使用一个XSS从localStorage（或sessionStorage、websql或任何类似的东西）获取令牌，而不是httpOnly cookie，在这种情况下，情况并非如此。