网站使用 localStorage 存储 token，有可能被跨域攻击吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 2496 days ago, the information mentioned may be changed or developed.

不懂就问，先谢过。
如果可以，希望能讲解下使用 localStorage 存储 token 的风险。

token

存储

localStorage

讲解

13 replies • 2019-07-02 15:34:13 +08:00

xjroot

Jul 1, 2019

你这个概念太大了，你这个就等于在问，IPV6 有多少 Ip 一样的。

undeflife

Jul 1, 2019

https://stackoverflow.com/questions/21357182/csrf-token-necessary-when-using-stateless-sessionless-authentication/37169633#37169633

SEARCHINGFREE

Jul 1, 2019 via iPhone

localstorage 没有过期时间不是作死吗

whypool

Jul 1, 2019

没风险，放心用

love

Jul 1, 2019

@SEARCHINGFREE 服务器有过期时间怕啥
不过还是没有 cookie 安全，因为可以被 js 随便读

coolair

Jul 1, 2019 via Android

一楼的这种比喻有道理吗？我觉得这种问题描述的还是比较清楚的，可能我也会这么问……

weixiangzhe

Jul 1, 2019

用 httponly 的 cookie 简单点吧

luoway

Jul 1, 2019

@undeflife #2 和楼主头像一样？

楼主问题答案是可能：假设网站存在 XSS 漏洞，可以执行用户脚本，那么 token 就可以被用户获取和使用。

jason94

Jul 1, 2019 via Android

容易被 xss

MzM2ODkx

Jul 1, 2019

storage 可以被 js 拿到，如果网站有 XSS 漏洞就有可能。

undeflife

Jul 1, 2019

@luoway 我引用的答案就是回答了这一问题。存在 xss 漏洞时，localStorage 会暴露，只不过是结合 jwt 和 csrf 说明的。

头像是 V2EX 提供随机头像之前的默认头像，站长提供了图片给偏偏喜欢默认头像的人使用...

coloz

Jul 2, 2019

@undeflife 我前端适用 angular 开发，是不是理论上就不会有 XSS 风险？

undeflife

Jul 2, 2019

@coloz 你是指 Angular 里的 SCE ？细节不太了解，不过我认为框架也没法避免不动脑子的作死，不是用了框架了一劳永逸了。