Ist es eine gute Vorgehensweise, Cookies/localStorage-Daten beim Abmelden für ungültig zu erklären?

Question

Ich habe SPA in react geschrieben und ich speichere Zugriffstoken in localStorage und wenn ich API-Anfragen mache, bekomme ich es aus dem lokalen Speicher und sende es als Header.

Meine Fragen:

1) Ist es eine gute Praxis, wenn aus Benutzer meldet nur die Daten von localstorage entfernen? Oder sollte ich den Backend-Entwickler bitten, einen Endpunkt hinzuzufügen/abzumelden?

2) Gibt es Sicherheitsbedenken, die ich berücksichtigen sollte, wenn ich Access Token im lokalen Speicher speichere?

Answer 1

Als Antwort auf Ihre Frage eins. 1) Sie sollten das Token/die Sitzung auch im Backend abhängig von Ihrem API-Design ungültig machen.

2) Es wird empfohlen, Tokens in BestCooks in Cookies zu speichern, wegen Sicherheitsbedenken, Webstorage als einige mögliche Sicherheitsbedenken.

https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage