вопрос не в сабдоменах) а как секьюрней хранить)

Банда, з jhipster в ангулярі хтось працював?

Ну если аппка загружена, то токен можно хранить просто в памяти, а если аппка перезагружается, то токен приезжает вместе с куками....

Плюс передавай по https и не так и просто будет узнать токен.  Все говорять что так не очень хранить, но норм варианта никто не предлагает.

выше написали же - http only cookie, что значит не предлагают вариант? локал стораж опасен из-за того что к сторажу есть доступ, а к куке - нет

К http only cookie нет доступа с js

httpOnly cookies do not make your site any less vulnerable to XSS attacks; if the attacker manages to inject a malicious script into your front end, then they can use that script to make HTTP requests to your server (directly from the victim's browser) and your precious httpOnly cookie (containing the user's valid session ID) will be attached to every request so the server will service them without suspecting anything.

вот такая вот инфа)

В общем есть хорошая статья, и интересна даже не сама она, а коментарии к ней. Всем кто задался вопросом где хранить токены и тд, советую почитать)
https://dev.to/rdegges/please-stop-using-local-storage-1i04

спасибо, почитаю

Всім привіт, колись також зустрівся з питанням передачі токену між клієнтом та сервером, вирішенням було використання http only cookie, так його не видно з клієнту, але навіщо? Моя архітектура передбачала перегін цієї кукі при кожному РЕСТ-запиті, а сервер вже має до неї доступ

а в чем вопрос то?

Це відповідь на питання вище)

Именно. Значит - секурно.

Это заявление опровергает секьюрность, и я склонен согласиться.

Оно скорее не секурно, а гемморней обходить

а на фронте можно че-то тру секьюрное придумать?

не думаю

любые виды хранилищ доступны из клиента, потому если у злоумышленника есть доступ к нему, тут уж ничего не поделаешь

так что мне кажется в первую очередь нужно защищаться от инъекций, а не пытаться ограничить доступы к АПИ