前端本地存储安全与 Token 管理（Cookie/LocalStorage/SessionStorage）

前端本地存储安全与 Token 管理（Cookie/LocalStorage/SessionStorage）关键实践与参数Cookie：`HttpOnly/Secure/SameSite`；配合后端会话与 CSRF 防护。LocalStorage：易被 XSS 读取；不存敏感 Token；仅存非敏感偏好。SessionStorage：作用域更小；适合短期状态。Token 策略：短期 `access_token` + 受控 `refresh_token`；设备绑定与黑名单。验证方法安全扫描与 XSS 注入模拟；检查敏感数据暴露。会话与 Token 生命周期演练；刷新与撤销行为正确。跨域与子域场景下 Cookie 策略验证。注意事项默认选择 Cookie 携带会话标识；避免浏览器端存敏感 Token。严格 CSP 与输入输出编码；降低 XSS 风险。统一退出与撤销策略；防止残留凭证。