Как безопасно хранить токены авторизации на клиенте?

Самый безопасный способ хранить токены на клиенте — httpOnly cookie с флагами Secure, SameSite=Strict и коротким сроком жизни. localStorage и sessionStorage уязвимы к XSS-атакам, потому что любой JS-код на странице имеет к ним доступ. Идеальная схема — короткоживущий access token в памяти (переменная) и долгоживущий refresh token в httpOnly cookie.