Quem tem acesso aos dados armazenados no armazenamento local, armazenamento de sessão e cookies?

Os dados em localStorage e sessionStorage estão disponíveis apenas para scripts que são executados no mesmo domínio que a página, ou seja, de acordo com a política de mesma origem (same-origin policy). Isso significa que outros sites não podem acessar esses dados.

• localStorage armazena dados sem data de expiração, acessível apenas a partir do mesmo domínio.
• sessionStorage armazena dados apenas durante a sessão da aba do navegador, também acessível apenas a partir do mesmo domínio.

Cookies podem ser acessíveis tanto do lado do cliente (através do JavaScript) quanto do lado do servidor, se forem enviados nas requisições HTTP. A acessibilidade do cookie depende das configurações:

• A flag HttpOnly impede o acesso via JavaScript, tornando o cookie acessível apenas ao servidor.
• A flag Secure restringe a transmissão do cookie apenas por HTTPS.
• A flag SameSite controla se os cookies são enviados com requisições de outros sites, ajudando a prevenir ataques CSRF.

Assim, o acesso aos dados:

• localStorage/sessionStorage: apenas scripts do mesmo domínio.
• Cookies: acessíveis ao servidor e, se HttpOnly não estiver definido, ao JavaScript do lado do cliente do mesmo domínio.