保护访问令牌免受 XSS 攻击

Question

我一直在研究登录后在哪里存储访问令牌。 人们说本地存储不安全，因为可以使用 javascript（易受 XSS 攻击）读取它，并建议改为使用仅 http 的 cookies。

但是假设我的网站易受 XSS 攻击，并且运行一些恶意代码以从我的 API 获取数据。 它应该仍然有效，因为 cookie 只是自动添加到请求中，对吧？ 他们不知道 cookie 是什么，但请求最终仍然有效。 使用 XSS，恶意代码会像来自我的站点一样运行。

我在这方面是正确的吗？

Answer 1

你是对的，攻击者将能够制造你的 api 允许的任何东西。

“将令牌保存在 HTTP 唯一 cookie 中”背后的想法是防止客户端访问令牌以窃取它。