Пруфы ?) Прочитав ваше сообщение я скажу что вы несёте ещё хуже, но это ваше право
Чувак, речь о реджекте кук, которые будут доступны для 3rd party, потому что это дикая дыра безопасности.
Если устанавливаешь SameSite, то всё ок. Если делаешь HttpOnly, которые из JS недоступны, то вообще идеально. Хранить авторизацию в LS/IndexedDB — это позволять любой корявой зависимости и любому расширению в браузере воровать токены.