在Javascript客户端（例如Angular）中存储OAuth访问令牌

我正在研究如何将IdentityServer4与ASP.NET WebAPI，Angular等结合使用。在Javascript客户端（例如Angular）中存储OAuth访问令牌

在使用Javascript客户端的OAuth 2的大多数示例中，我都看到访问令牌存储在本地存储或会话存储中。我也读过帖子，他们认为这是一个坏主意，例如这两个：https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage和http://cryto.net/~joepie91/blog/2016/06/13/stop-using-jwt-for-sessions/。

是否有任何方式使用cookie的API，而不是像提到的帖子，使用IdentityServer？

2016-12-21 martintro

的可能的复制[何处保存一个智威汤逊在基于浏览器的应用程序，以及如何使用它（http://stackoverflow.com/questions/26340275 /在哪里可以保存一个基于浏览器的应用程序和如何使用它） – cchamberlain

我的个人意见是会话/本地存储（取决于您的需求）是正确的地方。

先决条件是您的JS代码是安全的。强制执行的唯一方法是限制性内容安全策略。

督察 - CSP是强制性的每一个JS应用

2016-12-21 10:58:54 leastprivilege

我同意这种观点，Web Storage是大多数场景的充分选择。 @martintro，无论选择何种安全方面的考虑，您都可能会发现这种[正反两方面]（http://stackoverflow.com/a/40376819/204699）类型的答案，涵盖Web存储和Cookie，相关问题有帮助。 –

回答