Расскажи про виды хранилищ: localStorage, sessionStorage, cookie. Чем они отличаются и почему токены хранят в cookie?

localStorage сохраняется между сессиями, sessionStorage привязан к вкладке, а cookie браузер может автоматически отправлять серверу по заданным правилам.

Web Storage доступен JavaScript; HttpOnly cookie нельзя прочитать из JS, что снижает риск кражи токена через XSS, но не устраняет сам XSS. Cookie требует Secure, подходящего SameSite и CSRF-защиты. Хранение токенов выбирают по модели угроз, а не правилу «cookie всегда безопасны».

Источник: cheatsheetseries.owasp.org.