Почему токены хранят в куках, а не в localStorage? Как технически достигается эта безопасность?

HttpOnly-cookie недоступна для чтения JavaScript, тогда как localStorage доступен скрипту страницы; это снижает риск извлечения токена при XSS.

Cookie должна иметь подходящие Secure, SameSite, Path/Domain и срок жизни. Браузер отправляет её автоматически, поэтому нужна защита от CSRF. HttpOnly не предотвращает выполнение запросов самим XSS-кодом и не делает приложение полностью защищённым.