Kto ma dostęp do danych przechowywanych w local storage, session storage i cookies?

Dane w localStorage i sessionStorage są dostępne tylko dla skryptów uruchamianych na tej samej domenie co strona, zgodnie z polityką tego samego źródła (same-origin policy). Oznacza to, że inne strony nie mogą uzyskać dostępu do tych danych.

• localStorage przechowuje dane bez daty wygaśnięcia, dostępne tylko z tej samej domeny.
• sessionStorage przechowuje dane tylko podczas sesji karty przeglądarki, również dostępne tylko z tej samej domeny.

Cookies mogą być dostępne zarówno po stronie klienta (przez JavaScript), jak i po stronie serwera, jeśli są wysyłane w żądaniach HTTP. Dostępność cookie zależy od ustawień:

• Flaga HttpOnly zabrania dostępu przez JavaScript, czyniąc cookie dostępnym tylko dla serwera.
• Flaga Secure ogranicza przesyłanie cookie tylko przez HTTPS.
• Flaga SameSite kontroluje, czy cookie są wysyłane z żądaniami z innych stron, co pomaga zapobiegać atakom CSRF.

W związku z tym dostęp do danych:

• localStorage/sessionStorage: tylko skrypty z tej samej domeny.
• Cookies: dostępne dla serwera i, jeśli nie ustawiono HttpOnly, dla JavaScriptu po stronie klienta z tej samej domeny.