Lưu JWT vào localStorage hay Cookie khi authorize requests cho Serverless server?

Chào mọi người ạ. Em mới đến Viblo, có sai xót gì mọi người góp ý cho em ạ. Em cảm ơn ạ.

Em là sinh viên năm 3 của Đại học FPT (hết năm là em ra trường). Hồi em đi làm intern thì em phải giao tiếp với Strapi (serverless CMS) từ một React app (client-side). Strapi có gửi một cái access token là JWT về để lưu trên React app. Em có lên google tìm hiểu xem lưu thì phải lưu vào localStorage hay Cookie.

Dưới đây là tóm tắt của article gốc bằng tiếng Anh trên blog của em, mọi người có thể lên xem bản đầy đủ: localStorage vs. Cookie for token storage

Bản gốc có context hơn, nên mọi người cân nhắc đọc bản gốc ạ.

(Em muốn note là em không muốn dùng in-memory storage vì nó phải login lại khi chuyển trang.)

Thì hồi đó em thấy rất nhiều nguồn có bảo là dùng Cookie thì tốt hơn, và em muốn hiểu tại sao. Các nguồn em tìm thì có vẻ họ không lập luận chặt chẽ. Các ý kiến của họ thường là:

localStorage thì bị Cross-Site Scripting, còn Cookie thì không.
Cookie "an toàn hơn". Dùng httpOnly SameSite=Strict Secure Cookie là ok!

Theo em (hồi đó) tìm hiểu được, và giờ là em chắc chắn, thì dùng Cookie là sẽ bị một loại attack khác, là Cross-Site Request Forgery. Và ta không bao giờ có thể chống CSRF nếu ta đang bị hổng XSS. Nếu không muốn bị XSS khi dùng Cookie, bắt buộc phải dùng httpOnly. Nhưng không thể dùng được trong trường hợp Serverless, vì:

httpOnly không thể sử dụng khi ta muốn chống CSRF bằng phương pháp "Double Submit Cookie", được khuyên dùng bởi OWASP để chống CSRF cho Serverless servers. Ta phải cho CSRF token vào body của request để nó so sánh với CSRF token ở trong request header, nếu để httpOnly thì không lấy được. Tham khảo tại CSRF Prevention Cheet Sheet của OWASP.
SameSite=Strict thì nếu server ở domain khác thì sẽ không gửi cookie đi được. Và server của em ở domain khác. Không quan trọng lắm, vì httpOnly mà đã không sử dụng được thì tấn công XSS là lấy được.

Vậy, không thể dùng httpOnly nếu muốn chống CSRF bằng Double Submit Cookie. Thế là nếu không có httpOnly thì không thể chống XSS. Vậy là Cookie trong Serverless thì cũng bị hổng XSS.

Dùng localStorage thì phải chống XSS. Còn dùng Cookie thì phải chống XSS và CSRF. Chưa kể công implement Double Submit Cookie.

Em muốn lấy ý kiến từ mọi người ạ. Em không phải cái gì cũng biết, nên em viết blog và xin nhận xét của mọi người để xem em còn sơ xót chỗ nào. Còn nhận góp ý là còn học ạ. Em cảm ơn mọi người.

2 CÂU TRẢ LỜI