先记住这个答案
将 JWT 存 localStorage 时，任何 XSS 注入的脚本都能直接读取并外传，风险极高；而 HttpOnly Cookie 能阻止脚本访问，但会随请求自动携带，需用 SameSite 和 CSRF Token 防护。推荐将 Refresh Token 放 HttpOnly Cookie，Access Token 放内存；若必须持久化，优先 HttpOnly Cookie 并配置严格的同站策略。
HttpOnlyCookie 防 XSS 但需防 CSRFlocalStorage易被 XSS 直接窃取- 刷新令牌应放 Cookie 并加轮换
存储位置决定攻击路径
localStorage 的数据受同源策略保护，但页面内任何已运行的脚本都能通过 localStorage.getItem('token') 读取。若站点存在存储型 XSS，攻击者可直接窃取 JWT 并离线重放，无需欺骗用户点击或依赖 Cookie 发送。这种风险在 SPA 中尤其严重，因为前端代码大量使用用户输入渲染 HTML。
HttpOnly Cookie 则禁止 document.cookie 和脚本 API 访问，XSS 无法直接偷取令牌。但 Cookie 会由浏览器自动附加到同源请求，若没有适当防护，攻击者可构造恶意页面发起跨站 POST（如表单）触发 CSRF。SameSite 属性可限制跨站发送，Lax 模式下跨站 POST 请求不发送 Cookie，Strict 更安全但影响外部链接跳转。
电商 React SPA 的令牌放置决策
假设一个 React SPA 调用 REST API，用户登录后获得 Access Token 和 Refresh Token。若将两者都存 localStorage，攻击者通过产品搜索框的 XSS payload 即可窃取令牌并调用下单接口。处理：将 Access Token 保存在内存变量中，刷新页面后重新获取；Refresh Token 放入 HttpOnly + Secure + SameSite=Lax 的 Cookie，并设置短过期与轮换。
这样即使发生 XSS，攻击者拿不到 Refresh Token；需要 CSRF 保护时，API 要求自定义 X-CSRF-Token 头，因为同源页面才能读取 Cookie 中的 CSRF 值。每次刷新令牌时同时旋转 Refresh Token，并在服务端记录已使用状态，检测到重放就撤销整个会话。
反例与失效条件
若站点已启用严格 CSP 且无任何 XSS 入口，localStorage 的风险降低，但依赖“无 XSS”是脆弱的，第三方脚本或供应链攻击可绕过。同样，Cookie 方案若未设置 SameSite 或 CSRF Token，则面对跨站请求伪造会失守；且子域 cookie 作用域过宽也会扩大攻击面。
内存令牌的代价是刷新会丢失登录态，需用 Refresh Token 静默续期，但 Refresh Token 本身存储在 Cookie 中也存在 CSRF 风险，必须结合 SameSite 和校验自定义头。Cookie 大小限制（4KB）会制约 JWT 长度，需权衡声明数量；同时服务端时钟偏差需在过期校验时考虑。
容易答错的地方
- 只要用 HttpOnly Cookie 就绝对安全
- 错误。Cookie 防 XSS 但未防 CSRF，若未配置 SameSite 和 Token 校验，跨站请求仍能冒用。此外若 JWT 存在 Cookie 且无 Secure 属性，HTTP 明文传输可被截获。安全需要多属性组合。
- localStorage 只担心存储型 XSS
- 反射型 XSS 同样能在响应中插入脚本，只需欺骗用户点击链接。任何脚本执行点都能读取 localStorage，且由于令牌持久存在，窃取后有效时间更长。
面试官还会怎么问？
为什么不用 localStorage 存 Access Token 而用内存？
因为 Access Token 生命周期短，每次刷新页面后可通过 Refresh Token 重新获取。内存变量使 XSS 只能窃取当前会话的令牌，无法获得持久凭证。代价是刷新页面需重新静默登录，但可接受。
CSRF Token 与 SameSite 属性可以同时用吗？
可以，推荐同时使用。SameSite 处理浏览器的同站策略，CSRF Token 则针对所有跨站请求提供应用层校验。两者互补，即使 SameSite 被绕过（如旧浏览器），CSRF Token 仍能拦截。
Refresh Token 在 Cookie 中如何避免 CSRF 被利用？
Refresh Token 的端点必须验证 CSRF Token，且令牌本身应设置短过期与轮换。即使攻击者触发 CSRF 刷新，也只能得到新令牌，但攻击者无法读取新 cookie 中的值，因此无法实际使用，配合重放检测可失效。
参考资料
示例用于理解所注明的运行环境与边界；延伸学习可结合原文中的更多案例。