将会话ID存储在localStorage中可以吗？

Question

将用户的会话ID存储在localStorage中是否安全？在w3.org site，他们说

用户代理必须提高，只要任何最初由localStorage的 属性返回存储对象的 成员是由脚本，其有效脚本起源访问的SECURITY_ERR异常是不 一样localStorage属性被访问的窗口对象的文档的来源。

那么这是否意味着localStorage可以用于敏感数据？

Answer 1

这取决于你的意思是“它是安全的”？

localStorage与非路径限制cookie一样安全。在网页中，只能通过来自同一个域的页面访问。无数的网站将会话标识存储在与localStorage具有相同安全限制的Cookie中。

在网页之外，localStorage和cookies都不能安全地访问其他程序甚至是运行在同一台计算机上的网络调试工具。

Answer 2

httpOnly饼干提供XSS防御层localStorage不提供：

• httpOnly cookie是不是从[潜在的恶意] JS访问。
• localStorage是可从JS访问。

会话ID应存储在httpOnlysecure Cookie中。