Преимущество даёт не любая cookie, а HttpOnly-cookie: JavaScript не может прочитать её значение, тогда как localStorage доступен выполняемому скрипту.
Почему refresh token безопаснее хранить в cookie, а не в localStorage?
Преимущество даёт не любая cookie, а HttpOnly-cookie: JavaScript не может прочитать её значение, тогда как localStorage доступен выполняемому скрипту.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Преимущество даёт не любая cookie, а HttpOnly-cookie: JavaScript не может прочитать её значение, тогда как localStorage доступен выполняемому скрипту.
Добавьте Secure, подходящий SameSite, срок и узкую область действия. Это снижает риск кражи refresh token при XSS, но не устраняет возможность действий через сессию и не отменяет CSRF-защиту. Сервер всё равно должен поддерживать отзыв и проверку токенов.