localStorage / sessionStorage

ブラウザ内のストレージは便利だが、利用者からもJavaScriptからも 見えるし書き換えられる。暗号化もされない（平文）。機密情報や 「ログイン済みフラグ」「権限」を置いてはいけない。XSSがあれば丸ごと盗まれる。

試す

（開発者ツールの「アプリケーション」→ストレージでも同じものが見える）

要点: 機密情報・認可情報を入れない／読み込んだ値は信用せずエスケープ・検証／ 被害軽減のため可能なら sessionStorage（タブを閉じると消える）を使う。