Где хранить токен авторизации

У обоих вариантов разные угрозы. localStorage читается любым JavaScript на странице, поэтому любая XSS сразу уносит токен, и атакующий может пользоваться им со своей машины. Зато браузер сам его никуда не прикладывает, и CSRF не работает. Кука с HttpOnly недоступна скрипту, её нельзя украсть через XSS, но браузер прикладывает её автоматически, значит нужна защита от CSRF: SameSite Lax или Strict, Secure и для чувствительных действий CSRF-токен или проверка Origin. На практике я выбираю схему с коротким access-токеном в памяти приложения и refresh-токеном в HttpOnly-куке с ротацией. При этом помню, что XSS остаётся опасной в любой схеме: внедрённый скрипт может действовать от имени пользователя прямо в его браузере, поэтому базовая защита это не допускать XSS.