Тоже самое и токен

И локально через тот же постман потыкать

не, это ты у нас доказываешь, что это не возможно, ты и деплой

Удивишься результату

Так а мне-то зачем?) У меня с безопасностью все ровно, это у вас тут какие-то странные понятия о сессиях, JWT и методах их применения в продакшене

!tmute 30d

Тссс... помолчи.
Nathan 🦊 заглушен(-а) на 30 дней.

было лучше когда ты молчал

!ban @perkthefox

Вон отсюда!
Заблокировала Nathan 🦊.

Человек рассказывает про CSRF не зная вообще как он эксплуатируется

я согласен с тем, что сессии + куки как раньше было - отличный вариант. но он не ультимативный.

Еще как бы same-origin есть и CORS

вполне достаточно

"Cookies. Вот мы вернулись к старым «печенькам» которые использовались для хранения cookie sessions. Простое хранения Access токена в cookie чревато атакой CSRF. Более того оно не защищает от XSS атак. Для защиты от CSRF нужно ставить параметр Cookie SameSite в режим Strict– этим можно добиться того что все запросы, которые идут с других сайтов, не будут содержать Ваши credentials, что автоматически лишит атакующего возможности произвести CSRF атаку."

Сори, я до этого про "clickjacking" говорил :D про фреймы

Ну вообще мы пришли к одному знаменателю. То что хранить Bearer Token в Cookie - нормально.

Nuxt/Auth хранит и в куках и в localStorage

Когда у тебя трансляция?