现在还有用 cookies 吗

[pabno]

接手公司的老项目，很多安全和身份相关的功能都是用 cookies 实现的。这玩意儿感觉既不好测试又不安全，以往都是使用 token 来做的身份安全相关

不知道现在在 web 端主流是用 cookies 还是 token ？

[wakzz]

至少从目前的规范趋势看，未来肯定是去 cookie 化的。虽然 cookie 目前有绝大多数浏览器和 app 的支持，但是由于 cookie 机制早期的设计问题，有太多安全隐患。在可见的未来几年，chrome 会率先默认禁用 cookie，届时在没有新的成熟方案前，前后端的 session 追踪只能依赖 token 实现。

[ochatokori]

@love #52 为什么不安全，有什么场景是只能取到 localstorage 里面的 token 取不到 cookie 里面的 token

[love]

@ochatokori 这不是前端安全基本操作吗，token cookie 要加上 httponly 标记，就不会被 js 取到，防止意外引入的 js 偷 token

[Lizhecao]

看了一遍下来，感觉大佬们戾气好重，技术讨论而已，对事不对人。