浏览器客户端如何存储会话级令牌？替代Cookie的方案咨询

关于「仅客户端存Cookie不发服务器」的可行性 #

当然可以这么做，这不算不良实践。你可以给Cookie设置HttpOnly=false（默认就是false，无需特意修改），再加上SameSite=Strict，同时指定一个服务器不会处理的路径，比如path=/client-only——因为服务器端根本不会处理这个路径的请求，所以这个Cookie永远不会被发送到服务器。这样既利用了会话Cookie「窗口关闭就自动删除」的特性，又能避免自动提交给服务器，刚好匹配你的需求。

有没有更合适的替代方案？ #

• sessionStorage（会话存储）：这是最贴合你需求的原生方案。sessionStorage的生命周期就是当前浏览器标签页，一旦标签页关闭，存储的内容会自动清除，完全不用额外写代码处理。而且它是纯客户端存储，根本不会和服务器产生交互，不存在自动发送的问题。你直接把令牌存在这里，每次发请求时取出来放到Authorization头里就行。
  • 注意：sessionStorage是标签页隔离的，如果你的业务需要跨标签页共享令牌，那这个方案就不适用；但如果不需要跨标签页共享，这绝对是最优选择。
• 内存变量存储：把令牌存在JS内存的变量里，比如全局对象或者项目用的状态管理工具（像Redux、Vuex）里。这种方式的生命周期和页面一致，刷新或关闭页面就会丢失。但缺点是页面刷新时令牌会消失，用户得重新登录，体验不太好，适合对安全性要求极高且能接受刷新重登的场景。

不推荐的方案 #

• localStorage + onunload事件：正如你担心的，突发关机、浏览器崩溃这类情况会导致onunload事件触发失败，令牌会留在localStorage里，有安全隐患，别用这个方案。

内容的提问来源于stack exchange，提问作者JH Lee