Blog

Token Nerede Saklanmalı? localStorage, Memory, Cookie, Service Worker ve BFF'in Tehdit Modeli

Tarayıcıda hiçbir saklama yeri XSS'in kullanıcı adına istek atmasını engelleyemez; fark, token'ın okunup dışarı taşınabilmesinde ve bu yüzden RFC 10017 token'ı tarayıcıya hiç vermeyen BFF'i öneriyor. Bu yazıda localStorage, memory ve HttpOnly cookie modellerini Angular 22 ve ASP.NET Core 10 lab'ında simüle edilmiş bir XSS ile deniyor, Web/Service Worker ve refresh token risklerini tartıyor ve Bookstore'un BFF kararını testlerle sabitliyoruz.