Rails / React：如何实施身份验证以及将令牌存储在何处

Question

我刚刚用Rails作为我的API后端完成了我的第一个React SPA，并且想通过身份验证机制来保护它。我已经阅读了很多，并实现了JWT令牌进行身份验证。现在，我必须决定将JWT令牌存储在客户端上的位置。目前，我知道两种方法：

• 将其存储在cookie中（打开CSRF攻击的可能性）
• 将其存储为我的React应用程序中的变量，每次与后端通信时将令牌写到标头中。

由于我的API将来也可能会被其他应用程序使用，因此我无法以可行的方式使用CSRF令牌。如果我错了，请纠正我。所以现在我很好奇在这些情况下的最佳实践是什么。我找不到任何令人满意的文章。是否有另一种解决方案？