LocalStorage不适合存储敏感数据，因其易受XSS攻击且无作用域隔离；应避免保存密码、令牌等信息，优先使用httpOnly Cookie存储认证凭据，并通过CSP、输入过滤和框架防护防范XSS，必要时对非敏感数据进行前端加密校验。
LocalStorage 是前端常用的客户端存储方案，适合持久化保存少量非敏感数据。由于其运行在浏览器环境中，容易受到 XSS、CSRF 等攻击影响，因此必须采取合理措施提升安全性。
理解 LocalStorage 的安全局限
LocalStorage 没有作用域隔离机制，任何能执行 JavaScript 的页面脚本都可以访问同源下的存储内容。这意味着一旦页面存在 XSS（跨站脚本）漏洞，攻击者就能轻易窃取或篡改存储的数据。
它不支持自动过期，无法像 Cookie 那样设置 HttpOnly 或 Secure 标志，也不参与 HTTP 请求，因此不能用于存放身份凭证如 token、sessionID 等敏感信息。
避免存储敏感数据
不要将以下类型的信息保存在 LocalStorage 中：
- 用户密码或加密后的口令
- 身份认证令牌（如 JWT）
- 个人身份信息（PII），如身份证号、手机号
- 支付相关信息
若必须使用 token，建议通过 httpOnly Cookie 存储，并配合 CSRF 防护机制。前端仅保留必要的 UI 状态或用户偏好设置，比如主题模式、语言选择等。
防范 XSS 攻击
XSS 是 LocalStorage 数据泄露的主要途径。应从源头阻止恶意脚本注入：
- 对所有用户输入进行转义或过滤，尤其是动态插入 DOM 的内容
- 使用现代框架（如 React、Vue）自带的防注入机制
- 配置 CSP（Content Security Policy）策略，限制外部脚本加载
- 禁用 eval()、new Function() 等动态执行代码的方法
数据加密与完整性校验（可选增强）
对于非敏感但需保护的数据，可考虑轻量级加密处理：
- 使用 Web Crypto API 对写入内容进行 AES 加密
- 添加签名机制验证数据是否被篡改
- 密钥不应硬编码在前端，可通过安全通道临时生成或派生
注意：前端加密不能替代服务端安全控制，仅作为纵深防御手段。
基本上就这些。关键在于明确 LocalStorage 的定位——它是便利的客户端缓存工具，不是安全存储容器。只要不存敏感信息，配合良好的输入防护和 CSP 策略，就能在大多数场景下安全使用。
