Javascript JsonWebToken memorizzati nel Local Storage

[Richard1984]

Salve a tutti,
sto studiando Node.js ed in particolare i Json Web Token che permettono di realizzare un sistema di autenticazione in maniera molto facile e veloce. Per autenticarsi in una route privata è necessario trasmettere il token mediante l'header HTTP. Se io volessi mantenere questo token e ritrasmetterlo in qualunque momento ad una pagina web, come potrei fare? Per spiegarmi meglio: vorrei per esempio memorizzare il token nel Local Storage o in un cookie e quando l'utente visita una pagina, se il token è presente in memoria viene prelevato ed inviato al server che esegue l'autenticazione. Qualche idea?

 

[Webber]

Non c'è una risposta assoluta. Ci sono due scuole di pensiero su dove salvare i JWT. Con il cookie devi stare attento al CSRF, con lo storage al XSS.

 

[TheSeeker]

Riprendo la discussione perché ho dovuto sviluppare recentemente un'applicazione che usa JWT e ho avuto il medesimo dubbio su dove salvare il token optando per local storage.

Gli amici di Auth0 hanno una sezione dedicata a questo argomento:

https://auth0.com/docs/security/store-tokens