保存token的最佳方式取决于具体的应用场景和需求。以下是几种常见的保存token的方式及其优缺点，以便您根据实际情况进行选择：
HTTP Only Cookies：
优点：Cookies可以自动随HTTP请求发送，且HTTP Only属性可以防止JavaScript访问，从而减少XSS攻击的风险。
缺点：Cookies依赖于浏览器，且可能会被用户或第三方工具（如浏览器插件）清除。此外，跨域请求时可能需要额外配置。
LocalStorage：
优点：LocalStorage允许在客户端存储数据，且数据持久化，即使用户关闭浏览器或电脑也不会丢失。
缺点：LocalStorage可以被同源的JavaScript代码访问，存在XSS攻击的风险。同时，如果用户的浏览器被恶意软件感染，token可能会被盗取。
SessionStorage：
优点：SessionStorage与LocalStorage类似，但数据只会在当前浏览器会话中保存，关闭浏览器后数据会被清除。
缺点：和LocalStorage一样，SessionStorage也可以被同源的JavaScript代码访问，存在XSS攻击的风险。
服务器端存储：
优点：将token存储在服务器端，可以确保token的安全性，因为客户端不直接处理token。
缺点：每次请求都需要与服务器交互来验证token，增加了网络延迟和服务器负担。
加密存储：
优点：使用加密算法对token进行加密后再存储，可以提高token的安全性。
缺点：加密和解密过程可能会增加性能开销，同时需要确保加密密钥的安全。
综合考虑，选择哪种方式最适合保存token取决于您的应用是否对安全性有严格要求、是否需要跨域请求、用户体验需求等因素。对于大多数Web应用来说，使用HTTP Only Cookies是一种相对安全和简便的方式。然而，如果您的应用需要更高的安全性或特定的用户体验需求，您可能需要考虑其他方式。无论选择哪种方式，都应确保实施适当的安全措施，如使用HTTPS、限制token的有效期和权限等。
当使用HTTP Only Cookies来存储token时，以下是一个简单的例子来说明如何在服务器端设置这样的Cookies，并确保它们只能通过HTTP请求传输，而不能被客户端的JavaScript代码访问。
假设你正在使用Node.js和Express框架来构建你的Web应用。你可以使用cookie-parser中间件来解析Cookies，并使用res.cookie()方法来设置Cookies。
首先，安装cookie-parser中间件：
npm install cookie-parser
然后，在你的Express应用中引入并使用它：
const express = require('express');
const cookieParser = require('cookie-parser');
const app = express();
// 使用cookie-parser中间件
app.use(cookieParser());
// 路由处理函数
app.get('/set-token', (req, res) => {
// 假设你有一个名为'token'的值，它是通过某种方式生成的
const token = 'your-generated-token-here';
// 设置HTTP Only Cookie
res.cookie('auth-token', token, {
httpOnly: true, // 确保JavaScript无法访问此Cookie
secure: true, // 只通过HTTPS传输Cookie（可选，取决于你的应用是否使用HTTPS）
maxAge: 60 * 60 * 24 * 7, // 设置Cookie的有效期为7天
sameSite: 'strict' // 防止跨站请求伪造（CSRF）攻击（可选）
});
// 响应成功状态
res.send('Token has been set as an HTTP Only Cookie.');
});
app.listen(3000, () => {
console.log('Server is running on port 3000');
});
在上面的例子中，当用户访问/set-token路由时，服务器会设置一个名为auth-token的HTTP Only Cookie，并将token值作为Cookie的值。由于httpOnly选项被设置为true，这个Cookie将不能通过JavaScript的document.cookie属性来访问。
当客户端需要发送包含此token的请求时，浏览器会自动将HTTP Only Cookies附加到请求头中。在服务器端，你可以通过req.cookies['auth-token']来访问这个token。
请注意，为了安全起见，你应该确保你的应用使用HTTPS，这样即使有人尝试截获网络传输的数据，他们也无法解密HTTPS请求中的Cookies。此外，你应该定期更新token，并在服务器端验证token的有效性。