Javascript 如何以及在何处安全地存储访问令牌

我知道这个问题已经被问过很多次了，但坦率地说，我还没有看到一个符合我的标准的答案

因此，我有一个ASP.NETWebAPI，它在提供user/pass时发出一个访问令牌（JWT）。目前，请求来自SPA应用程序。我遇到的问题是存储访问令牌，以便它可以从JavaScript重新发送到API。 到目前为止，似乎有两种常见的建议选项

• HTML5网络商店
• 饼干

但这些都不是真正安全的，因为它们没有受到XSS和CSRF的保护。最重要的是，它使令牌更容易访问

---

你有什么建议吗？

如果你还没有看过/读过，这里有一个建议。谢谢，我看过了。我只是不明白它是如何回答这个问题的。）我仍然可以获得一个访问令牌，并直接向API发送请求，具体的部分是关于？它不能保护您的API免受类似于直接请求的

curl

的攻击，但是-尽管我个人不确定（并且想知道）如何完成攻击（假设反xss已经就位）-换句话说，其他人如何能够获取该令牌（给定您可以访问自己的令牌）？@EdSF如果我将httpOnly cookie设置为如何从JavaSript获取值？我认为该部分指出，如果您的应用程序是/首先是，令牌容易受到XSS的攻击（缓解因素是

iat

和

exp

）