LocalStorage无安全校验能力，开发者须在读写时主动实现类型校验、结构清洗、敏感数据禁止存储、解析防御、默认回退及可选签名防篡改，推荐封装统一工具类并优先选用HttpOnly Cookie等更安全方案。
LocalStorage 本身不提供任何安全校验或数据清洗能力，它只是一个同步的、无类型的键值存储接口。所谓“安全校验与清洗”，必须由开发者在写入和读取时主动实现，不能依赖 LocalStorage 自身机制。
写入前：强制类型校验 + 结构清洗
避免直接存原始用户输入或未经处理的对象。建议封装写入函数，对数据做基础过滤和标准化：
- 用 JSON.stringify() 前先检查是否为可序列化对象（排除函数、undefined、Symbol、循环引用）
- 对字符串值做 trim() 和长度限制（如超过 10MB 会触发 QuotaExceededError）
- 对数字/布尔值做类型断言，例如
value = typeof value === 'number' ? Number(value) : null - 敏感字段（如 token、密码）绝不存入 LocalStorage —— 这是安全红线
读取时：解析防御 + 默认回退
LocalStorage 中的值始终是字符串，读取后需谨慎解析，防止 JSON.parse 报错或注入风险：
- 用 try/catch 包裹 JSON.parse()，失败时返回预设默认值（如
{}或null） - 解析后验证结构，例如检查必要字段是否存在、类型是否匹配：
if (data && typeof data.id === 'string' && data.timestamp) - 避免直接将读取内容插入 DOM（防 XSS），如需渲染，优先用 textContent 或经 DOMPurify 处理
增强防护：加签名或时间戳（可选）
若需防范篡改（如配置项、用户偏好），可在存入时附加简单校验信息：
java-api-doc-generator
下载
分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。
立即学习“Java免费学习笔记（深入）”；
- 存入时生成简易哈希（如
sha256(JSON.stringify(data) + secretKey)），连同数据一起存为对象 - 读取时重新计算哈希比对，不一致则丢弃该条目
- 添加
expires字段控制有效期，读取时检查是否过期，过期自动清除 - 注意：这类签名无法防客户端调试修改，仅防无意误改或低阶篡改
替代方案提醒：更安全的选项
LocalStorage 不适合存敏感或关键数据。真正需要安全持久化的场景，应考虑：
- HttpOnly Cookie：服务端签发、前端不可读，适合身份凭证
- IndexedDB + 加密库（如 CryptoJS）：支持大容量、可加密，但需自行管理密钥生命周期
- 内存缓存 + 服务端兜底：敏感状态只保留在内存，重启后从服务端拉取
不复杂但容易忽略：校验和清洗不是一次性的，而要固化在所有读写入口中 —— 封装成统一的 storage 工具类，比到处手写 try/catch 更可靠。
