误区一：localStorage存token，方便就完事了这是前端圈子里流传最广的偷懒写法。新手教程里经常这么教——登录成功后拿到token，顺手localStorage.setItem存起来，下次请求带上就行。看起来没毛病，实际上埋了一颗定时炸弹。不少已经上线跑了一两年的项目，至今还在用这种方式管理登录态。开发者觉得又不是银行系统没那么严格，但现实是：只要你的页面存在一个XSS漏洞，攻击者一行d