Lưu trữ thông tin đăng nhập an toàn trong Local Storage

Local Storage được thiết kế để lưu trữ dữ liệu xuyên suốt các cửa sổ/tab và tồn tại sau khi đóng trình duyệt. Ứng dụng web có thể lưu trữ hàng megabyte dữ liệu người dùng (văn bản, hộp thư, v.v.) phía client để tăng hiệu năng.

Cách lưu thông tin đăng nhập an toàn

1. Khi người dùng đăng nhập thành công, tạo một chuỗi ngẫu nhiên hoàn toàn không liên quan đến mật khẩu (token phiên).
2. Lưu token này vào cơ sở dữ liệu kèm theo thời gian hết hạn (expiry).
3. Gửi token cho JavaScript phía client để lưu vào localStorage.
4. Mỗi lần truy cập, so sánh token trong localStorage với token trong DB và kiểm tra thời gian hết hạn.

Cách này đảm bảo mật khẩu thực sự không bao giờ chạm đến localStorage, loại bỏ rủi ro rò rỉ thông tin nhạy cảm nếu localStorage bị truy xuất trái phép (qua XSS, v.v.).

Lưu ý bảo mật

Luôn sử dụng HTTPS để ngăn chặn nghe lén token.
• Thiết lập HttpOnly và Secure cho cookie nếu dùng cookie thay thế.
• Xử lý đúng cách đăng xuất: xóa token cả ở client và server.