He estado leyendo el borrador de Aaron Parecki de las mejores prácticas de autenticación de aplicaciones basadas en navegador (es decir, SPA como las desarrolladas con React o Angular) con OAuth 2, así como las pautas de seguridad de OWASP, y me dejó realmente confundido:

1. El borrador del RFC menciona la rotación de tokens de actualización. Ahora, ¿cómo haría eso mientras me adhiero a la restricción sin estado de REST? ¿Incluyo algún resumen de una cadena aleatoria en la cookie y el token de actualización también y compruebo si son iguales?
2. ¿Cuál es la forma correcta (o más bien, algunas de las formas más seguras) de almacenar tokens de actualización en el navegador? Revisé la biblioteca de autenticación JS de okta, y usa localStorage de manera predeterminada, lo que no recomiendan las pautas de OWASP. ¿Tiene algún tipo de protección extra? ¿Debería ponerle un resumen adicional y también ponerlo en una cookie y combinarlos?
3. OWASP recomienda que las ID de sesión sean completamente opacas para el cliente, pero si usamos JWT, ¿no viola este principio? ¿Significa esto que siempre debo cifrar mis JWT con un cifrado simétrico?

Algunas referencias:

• https://datatracker.ietf.org/doc/html/draft-ietf-oauth-browser-based-apps-04#section-4
• https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/HTML5_Security_Cheat_Sheet.md
• https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/JSON_Web_Token_Cheat_Sheet_for_Java.md
• https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Session_Management_Cheat_Sheet.md