localStorage 的内容外部引入的 JS 也能读取到，这样真的好吗？

[nyse]

通过 <script> 标签引入其他域名的 JS，可以直接读取 localStorage 的内容，这样不是比 cookie 更不安全吗。

Cookie 好歹分域名存贮的，而且可以通过 HttpOnly 不让 JS 读取到。

像现在很多前后端分离的项目，把 token 存 localStorage，万一引入的第三方 JS 来源有问题，安全风险岂不是很大？

[nyse]

@ragnaroks #20 这不就相当于 token 存内存了，不要保存嘛.

[ragnaroks]

@nyse 用 canvas 算指纹做 token