注销时使 cookie/localStorage 数据无效是一种好习惯吗？

【问题标题】：Is it a good practice to invalidate cookie/localStorage data when signing out?注销时使 cookie/localStorage 数据无效是一种好习惯吗？
【发布时间】：2026-01-27 04:05:01
【问题描述】：

我在 react 中编写了 SPA，并将访问令牌存储在 localStorage 中，当我发出 API 请求时，我从本地存储中获取它并将其作为标头发送。

我的问题：

1) 当用户退出时从本地存储中删除数据是一个好习惯吗？还是我应该要求后端开发人员添加 /signout 端点？

2) 如果我将访问令牌存储在本地存储中，是否应该考虑任何安全问题？

【问题讨论】：

标签： javascript security authentication local-storage single-page-application

【解决方案1】：

作为对您的问题一的回答。 1）您还应该根据您的 api 设计使后端中的令牌/会话无效。

2) 出于安全考虑，建议将令牌以最佳情况存储在 cookie 中，网络存储是一些可能的安全问题。

https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

【讨论】：