Javascript 使用cookies存储客户端的次要细节是否比本地存储更好？

我使用cookies来处理最重要的细节，比如代币。它们是安全的，并且仅限于http。我还有一些细节要保存在客户端。比如，一旦用户登录，我将存储userType（customer | internaluser）和一些设置为true/false的标志。我将这些额外的详细信息存储在本地存储中，因为客户端正在使用它们执行一些基本任务。将他们移动到Cookie上并保持其httpOnly:false（因为浏览器JS只能在没有httpOnly的情况下访问Cookie）是一个好主意吗？

您是否使用像Redux或Apollo这样的中央FE数据存储？就我个人而言，我会在FE数据存储中设置userType

---

对于将设置为

httpOnly:false

的cookie。cookie和本地存储之间的安全性大致相当。如果在您的站点上运行恶意脚本，该脚本将能够访问本地存储和非安全cookie。

您是否使用诸如Redux或Apollo之类的中央FE数据存储？就我个人而言，我会在FE数据存储中设置userType

---

对于将设置为

httpOnly:false

的cookie。cookie和本地存储之间的安全性大致相当。如果在您的站点上运行恶意脚本，脚本将能够访问本地存储和不安全的cookies。

客户端会在每次请求时将cookies传输到服务器。如果传输的数据是服务器必须经常访问的数据（如会话cookie），以便服务器可以轻松地将给定的请求与特定用户及其凭据/设置绑定在一起，那么这就是使用cookie的最佳情况

httpOnly

使它更安全，因为只有服务器才能读取它

如果您想要存储的数据不经常被服务器读取，那么cookies可能不是正确的选择，因为cookies会在每次请求时由客户端发送；将数据放入cookie可能会导致不必要的开销

对于客户端需要发送的安全敏感数据，如会话令牌，我建议使用带有

httpOnly

的cookie，因为这将使可能的XSS攻击更难执行

对于不敏感的数据（如布局首选项），如果数据仅由客户端读取/写入，则将其存储在本地存储中肯定更有意义

---

对于你的情况，考虑<代码> USEType 和其他标志是否是保密的必要条件——听起来可能不是。然后，如果它们仅由客户端使用，则本地存储是更合适的选择。如果服务器偶尔需要使用它们，您可以将其放入非

httpOnly

cookies中，也可以不放入，只要能让您的工作流程更简单。

客户端在每次请求时都会将cookies传输到服务器。如果传输的数据是服务器必须经常访问的数据（如会话cookie），以便服务器可以轻松地将给定的请求与特定用户及其凭据/设置绑定在一起，那么这就是使用cookie的最佳情况

httpOnly

使它更安全，因为只有服务器才能读取它

如果您想要存储的数据不经常被服务器读取，那么cookies可能不是正确的选择，因为cookies会在每次请求时由客户端发送；将数据放入cookie可能会导致不必要的开销

对于客户端需要发送的安全敏感数据，如会话令牌，我建议使用带有

httpOnly

的cookie，因为这将使可能的XSS攻击更难执行

对于不敏感的数据（如布局首选项），如果数据仅由客户端读取/写入，则将其存储在本地存储中肯定更有意义

---

对于你的情况，考虑<代码> USEType 和其他标志是否是保密的必要条件——听起来可能不是。然后，如果它们仅由客户端使用，则本地存储是更合适的选择。如果服务器偶尔需要使用它们，您可以将其放入非

httpOnly

cookies-或不放入cookies-任何使您的工作流程更简单的东西。

谢谢@Nick。到目前为止，我们没有使用中央FE存储。此外，我们计划在没有httpOnly的情况下添加到Cookie中的这些细节将是客户需要的非常低优先级的细节。在cookies中添加这样的细节（但不保证安全）是一种常见做法吗？谢谢@Nick。到目前为止，我们没有使用中央FE存储。此外，我们计划在没有httpOnly的情况下添加到Cookie中的这些细节将是客户需要的非常低优先级的细节。在cookies中添加这样的细节（但不保证安全）是一种常见做法吗？谢谢！！这真的很有帮助。我现在将主要使用本地存储来获取这些详细信息。谢谢！！这真的很有帮助。我现在主要使用本地存储来存储这些细节。