刷新令牌最好以 JSON 形式接收还是立即将其设置为 cookie？

Question

我正在使用 Nuxtjs/auth 构建基于令牌的身份验证。当我登录用户时，我从服务器收到以下响应：

JSONResponse({
 'result': True,
 'token_type': 'bearer',
 'access_token': *****,})/n
:cookie(key="refresh_token", httponly=True)

我想知道从安全角度来看，如果是这样的话，有什么区别：

JSONResponse({
 'result': True,
 'token_type': 'bearer',
 'access_token': *****,
 'refresh_token': *****,})

Answer 1

httpOnly cookie 更安全，但有效负载本身不会添加任何与安全相关的内容。