الأمان: ما يجب عدم تخزينه مطلقًا

يحفظ localStorage وsessionStorage البيانات على القرص من دون تشفير ضمن ملف تعريف المستخدم. ويمكن لأي عملية تملك صلاحية الوصول إلى نظام الملفات، بما في ذلك البرمجيات الخبيثة وأدوات النسخ الاحتياطي أو مستخدم آخر سجّل الدخول، قراءة كل قيمة خزّنتها من دون المرور عبر المتصفح.

تشترك جميع النصوص البرمجية التي تعمل على الأصل في Storage نفسه. ويمكن لهجوم XSS ناجح أو SDK تابع لجهة خارجية تم اختراقه أو إضافة متصفح خبيثة استدعاء localStorage.getItem واستخراج كل قيمة مخزنة. ولا يوجد عزل بين النصوص البرمجية.

لا تضع رموز الجلسات أو JWTs أو رموز التحديث أو مفاتيح API في localStorage. فإذا حقن مهاجم سطرًا واحدًا من JavaScript، يتسرب الرمز فورًا. استخدم ملفات تعريف الارتباط httpOnly وSecure وSameSite، حتى لا يكون الرمز متاحًا من JavaScript.

يُعد تخزين كلمات المرور بأي صورة، سواءً كانت نصًا عاديًا أو مجزأة أو مشفرة، أمرًا خاطئًا على العميل. ولا تساعد التجزئة من جانب العميل عندما يستطيع المهاجم قراءة التجزئة وإعادة استخدامها. يجب أن تتم معالجة كلمات المرور بالكامل على الخادم باستخدام تجزئة مخصصة لكلمات المرور مثل bcrypt.

تحظر PCI-DSS تخزين أرقام البطاقات أو رموز CVV أو بيانات الشريط المغناطيسي أو تواريخ انتهاء الصلاحية في تخزين جهة العميل. استخدم بدلًا من ذلك مزود دفع يعتمد على الرموز مثل Stripe أو Braintree أو Adyen، ويعيد رمزًا قصير العمر مرتبطًا بأصلك.

تجذب أرقام الهوية الحكومية وتواريخ الميلاد الكاملة وعناوين المنزل والبيانات الطبية انتباه الجهات التنظيمية مثل GDPR وHIPAA والمهاجمين. لا تخزن سوى ما يلزم للجلسة الحالية، واطلب البيانات مجددًا عند الحاجة، ودع الخادم يحتفظ بالمرجع الأساسي.

يُعد وجود خلل XSS يؤدي إلى تسريب document.cookie أمرًا سيئًا. أما وجود الخلل نفسه في صفحة تخزن الرموز في localStorage، فيمنح المهاجم كل قيمة مخزنة دفعة واحدة. تعامل مع localStorage على أنه سطح يعني: «إذا اخترق المهاجم برنامجًا نصيًا واحدًا، فقد اخترق كل شيء».

لا يوفر تشفير القيم باستخدام مفتاح موجود أيضًا في JavaScript حماية حقيقية — فالمهاجم الذي يستطيع قراءة النص المشفر يستطيع قراءة المفتاح أيضًا. يجب أن تبقى الأسرار الحقيقية على الخادم، وأن يُعاد إصدارها، وألا تُحفظ مطلقًا على جهة العميل.

تُعد تفضيلات واجهة المستخدم، مثل السمة أو طي الشريط الجانبي أو اللغة، ورايات الميزات غير الحساسة، ومحتويات نماذج المسودات، وحالة المعالج المؤقتة، كلها آمنة. فهي ظاهرة للمستخدم أصلًا، ولا يتيح تسريبها الاستيلاء على الحساب.

أصدر المصادقة عبر Set-Cookie: token=...; HttpOnly; Secure; SameSite=Strict. تجعل الراية HttpOnly ملف تعريف الارتباط غير متاح لـ JavaScript، مما يبطل معظم حمولات XSS التي تسرق الرموز حتى عند وجود أخطاء أخرى في الصفحة.

إذا اضطررت إلى تخزين بيانات تبدو حساسة مؤقتًا، فاحصر نطاقها بإحكام، وحدد مدة TTL قصيرة، وامسحها عند تسجيل الخروج، وأزلها عند إغلاق علامة التبويب باستخدام sessionStorage، وطبّق سياسة أمن محتوى صارمة لحظر البرامج النصية المحقونة، وافحص كل برنامج نصي تابع لجهة خارجية يعمل في الصفحات التي تتطلب المصادقة.

لماذا تُعد رموز المصادقة المخزنة في localStorage خطرًا أمنيًا؟

إن Web Storage عبارة عن نص عادي، ويمكن للبرامج النصية قراءته، وهو مشترك على مستوى الأصل. لا تضع فيه رموز المصادقة أو كلمات المرور أو بيانات الدفع أو المعلومات الشخصية الخاضعة للتنظيم مطلقًا. احتفظ بالأسرار في ملفات تعريف ارتباط httpOnly، واقصر استخدام localStorage على حالة واجهة المستخدم غير الضارة التي يمكن للمستخدم رؤيتها على أي حال.