<html>

  <head>

    <meta content="text/html; charset=windows-1252"

      http-equiv="Content-Type">

  </head>

  <body bgcolor="#FFFFFF" text="#000000">

    <br>

    <br>

    <div class="moz-cite-prefix">On 4/25/16 4:05 PM, Cantor, Scott

      wrote:<br>

    </div>

    <blockquote

cite="mid:9846A6064BD102419D06814DD0D78DE1128C0C60@CIO-TNC-D2MBX02.osuad.osu.edu"

      type="cite">

      <blockquote type="cite">

        <pre wrap="">True.  The articles I read however argued that in general cookies are still

more secure and a better choice for security info since, unlike local storage,

you can and should set HttpOnly and thereby at least prevent the Javascript

XSS vectors.

</pre>

      </blockquote>

      <pre wrap="">

That is about the saddest thing I've read in a while.

</pre>

    </blockquote>

    <br>

    I'm not saying that they're right, only reporting what my (probably

    small) sampling seemed to agree on. Still trying to understand all

    the issues myself. There's a tradeoff either way: with local storage

    you have to worry about rogue Javascript; with

    cookies-as-bearer-tokens there's the problem with binding it to the

    browser and legitimate user.<br>

  </body>

</html>