Wer hat Zugriff auf die in local storage, session storage und Cookies gespeicherten Daten?

Daten in localStorage und sessionStorage sind nur für Skripte zugänglich, die auf derselben Domäne wie die Seite ausgeführt werden, gemäß der Same-Origin-Policy. Das bedeutet, dass andere Websites keinen Zugriff auf diese Daten haben.

• localStorage speichert Daten ohne Ablaufdatum, nur vom selben Domain zugänglich.
• sessionStorage speichert Daten nur während der Sitzung des Browser-Tabs, ebenfalls nur vom selben Domain zugänglich.

Cookies können sowohl clientseitig (über JavaScript) als auch serverseitig zugänglich sein, wenn sie in HTTP-Anfragen gesendet werden. Die Verfügbarkeit von Cookies hängt von den Einstellungen ab:

• Das Flag HttpOnly verbietet den Zugriff über JavaScript, macht das Cookie nur für den Server zugänglich.
• Das Flag Secure beschränkt die Übertragung des Cookies nur über HTTPS.
• Das Flag SameSite steuert, ob Cookies mit Anfragen von anderen Websites gesendet werden, was hilft, CSRF-Angriffe zu verhindern.

Daher ist der Zugriff auf die Daten:

• localStorage/sessionStorage: nur Skripte derselben Domäne.
• Cookies: für den Server zugänglich und, wenn HttpOnly nicht gesetzt ist, auch für clientseitiges JavaScript derselben Domäne.