token在前端保存的安全性思考

CSRF和XSS

CSRF：用户在A网站登录，未退出A网站的前提下访问B网站，B网站向A网站发起请求，此时浏览器会携带用户在A网站的cookie请求A网站，A网站并不知道是用户的操作还是B网站（危险）的操作。

XSS：是向网站 A 注入 JS代码或html脚本等，然后执行 JS 里的代码，篡改网站A的内容或者盗用cookie等。

前端可以把token存储在localstorage或者cookie。

方案：存cookie比较好。
localstorage有xss风险 ，cookie有csrf 和xss风险。
这里存cookie，不是普通的cookie直接与服务器交互。后端不通过cookie取值，前端请求时从cookie取出来 放到请求头里 可以避免csrf。
并对cookie设置httponly 减少xss攻击。

前后端都可以做一些措施防止xss攻击。
xss和csrf详解：https://www.cnblogs.com/itsuibi/p/10752868.html