Kdo má přístup k údajům uloženým v local storage, session storage a cookies?

Data v localStorage a sessionStorage jsou dostupná pouze skriptům, které běží na stejné doméně jako stránka, podle politiky stejného původu (same-origin policy). To znamená, že jiné stránky k těmto datům nemají přístup.

• localStorage ukládá data bez vypršení platnosti, dostupná pouze ze stejné domény.
• sessionStorage ukládá data pouze během relace záložky prohlížeče, také pouze ze stejné domény.

Cookies mohou být dostupné jak na straně klienta (přes JavaScript), tak na straně serveru, pokud jsou odesílány v HTTP požadavcích. Dostupnost cookie závisí na nastavení:

• Příznak `HttpOnly zakazuje přístup přes JavaScript, čímž je cookie dostupná pouze pro server.
• Příznak Secure omezuje přenos cookie pouze přes HTTPS.
• Příznak SameSite kontroluje, zda jsou cookie odesílány s požadavky z jiných stránek, což pomáhá předcházet CSRF útokům.

Tudíž přístup k datům:

• localStorage/sessionStorage: pouze skripty stejné domény.
• Cookies: dostupné serveru a pokud není nastaveno HttpOnly, tak i klientskému JavaScriptu ze stejné domény.