Где безопасно хранить JWT токен на фронтенде (Local Storage vs HttpOnly Cookie)?

Local Storage / Session Storage:
❌ Опасно: Любой JavaScript код на странице имеет к ним доступ. Если на сайте есть XSS-уязвимость, хакер легко украдет токен.

HttpOnly Cookie:
✅ Безопасно: Флаг HttpOnly запрещает чтение куки через JavaScript. Токен автоматически прикрепляется браузером к запросам на нужный домен. Хакер не сможет его украсть через XSS.
⚠️ Нюанс: При использовании кук нужно обязательно защищаться от CSRF-атак (например, через флаг SameSite=Strict).