Возможно не совсем по теме

Но localStorage небезопасен, ошибка xss может раскрыть ваш токен?

Помещение токена в файл cookie откроет вам доступ к CSRF.

Застрял между бедами, не легко. Любые мысли о том, как обезопасить его полностью.