将JWT令牌存储在Redux store中是否安全？能否替代HttpOnly Cookie？

你当前通过Redux存储令牌、搭配redux-persist做持久化、放弃HttpOnly Cookie的方案不可取，存在极高的安全风险。

核心风险点 #

• redux-persist默认会将Redux状态持久化到localStorage/sessionStorage这类前端明文存储中，这类存储完全对前端JS开放，一旦站点存在XSS漏洞，恶意脚本可以直接读取到存储的JWT令牌，攻击者拿到令牌后即可完全伪造用户身份发起任意请求，造成账号被盗、数据泄露/篡改等严重问题。
• HttpOnly Cookie是浏览器原生提供的安全存储方案，被标记为HttpOnly的Cookie无法被前端JS读取，即使站点遭遇XSS攻击，攻击者也无法拿到令牌，再搭配Secure（仅HTTPS传输）、SameSite（限制跨站携带，防御CSRF）属性，安全等级远高于前端本地存储方案。

可行的优化方案 #

如果不想完全依赖Cookie，可采用分层存储方案：

1. 短有效期的access_token（10~15分钟有效期）仅存在Redux运行内存中，不要用redux-persist做持久化，页面刷新后内存清空自动失效
2. 长有效期的refresh_token存储在HttpOnly Cookie中，access_token过期或页面刷新后，用refresh_token请求接口换取新的access_token即可
3. 该方案既保留了Redux管理令牌的便利性，也兼顾了安全要求

特殊场景说明 #

如果你的项目是无后端的纯静态站点、完全依赖第三方公共API无法配置Cookie，不得不将JWT存在前端存储，必须做以下防护：

• 全站做严格的XSS防护，所有用户输入内容做转义处理，禁止引入不可信第三方脚本，开启CSP内容安全策略
• JWT有效期设置到极短，缩小令牌被盗后的可用时间窗口
• 敏感操作（修改账号信息、支付、删除数据等）额外增加二次校验逻辑

内容的提问来源于stack exchange，提问作者James