в локалсторадже, и в app в юзэффекте проверять его наличие, и в зависимости от этого отображать следующие страницы?
Нет, не нормально. JWT токен должен храниться в cookie c флагом httpOnly. Сделайте лучше какую-то пометку в localStorage о том что токен получен, скажем флагом is_authorized: true.
Нормально, если ваш токен живет пару минут и это access токен. Что в сторадже, что в DOM хранить без разницы, а refresh токен должен быть именно в куки. Опасности от CSRF или XSS атак, но в случае XSS, любые перекладывания уже не спасут.
Обсуждают сегодня