• [AWS Black Belt Online Seminar] Amazon Cognito 資料及び QA 公開 Amazon Web Services ブログ

    Q. ブラウザにおいて、Cognito にログインして取得した idToken,AccessToken はどこに保存しておくのが安全なのでしょうか。localStorage に保存するのは危険だという記事を見たのですが、Cookie でやりとりすべきなのでしょうか？
    A. どこに保存するか、どのように扱うかなどは、アプリケーションにとってのリスクを総合的に判断頂き、決定頂ければと思います。Amazon Cognito Identity SDK for JavaScript、Amplify Library を利用する場合、Local Storage のみならず、Session Storage、Cookie に加え、お客様が独自に定義したストレージクラス経由で任意の方法でデータを保持させる事が可能となっています。

  • JWTを使った今どきのSPAの認証について HiCustomer Lab - HiCustomer Developer's Blog

    AWS AmplifyはlocalStorageにJWTを保存
    悪意のあるThird partyライブラリが混ざっていたらJWTを抜かれる。
    yarn.lockが依存している全ライブラリを監査することはつらい。

  • SPAセキュリティ入門～PHP Conference Japan 2021
    HTML5のLocalStorageを使ってはいけない理由がまとまっている