Kratak odgovor: SessionStorage i localStorage su oba Web Storage API-ja bazirana na pregledniku koji omogućavaju web stranicama da pohranjuju podatke na korisnikovom uređaju, ali se kritično razlikuju po postojanosti i opsegu. localStorage zadržava podatke neograničeno kroz sesije i kartice, dok sessionStorage briše podatke kada se kartica preglednika zatvori. Sa stanovišta privatnosti, localStorage nosi znatno veći rizik jer podaci ostaju bez isteka, što ga čini privlačnijom metom za praćenje, fingerprinting i regulatornu kontrolu prema okvirima kao što je GDPR.
Ključne spoznaje
- localStorage traje neograničeno dok se eksplicitno ne obriše; sessionStorage se briše kada se kartica ili prozor zatvori.
- Oba tipa pohrane su ranjiva na cross-site scripting (XSS) napade i ne nude ugrađenu enkripciju.
- Podaci iz localStorage-a niti sessionStorage-a se ne prenose automatski na server, za razliku od kolačića, ali su oba u potpunosti čitljiva bilo kojim JavaScriptom koji se pokreće na istom izvoru.
- Skripte trećih strana učitane na stranici mogu pristupiti podacima iz localStorage-a ako se pokreću u istom kontekstu izvora.
- Prema GDPR-u, pohranjivanje nebitnih podataka u localStorage bez pristanka korisnika predstavlja kršenje usklađenosti, isto kao i postavljanje kolačića za praćenje.
- Osjetljivi podaci kao što su tokeni za autentifikaciju, lozinke i podaci koji omogućavaju ličnu identifikaciju (PII) nikada ne bi trebali biti pohranjeni u bilo kojem mehanizmu bez dodatnih sigurnosnih slojeva.
- Privatno/anonimno pregledavanje ograničava postojanost localStorage-a, ali ne eliminira rizike sessionStorage-a unutar sesije.
- Programeri bi trebali preferirati sessionStorage za privremeno stanje, sesije na strani servera ili HttpOnly kolačiće za autentifikaciju, te platformu za upravljanje pristankom kao što je Biscotti CMP za upravljanje pristankom za pohranu.
Koja je razlika između SessionStorage i LocalStorage?
SessionStorage i localStorage su oba dio HTML5 Web Storage API-ja, ali služe različitim svrhama definisanim njihovom postojanošću i ponašanjem u opsegu kartica.
localStorage pohranjuje parove ključ-vrijednost bez datuma isteka. Podaci preživljavaju ponovno pokretanje preglednika, ponovno pokretanje sistema i neograničene periode neaktivnosti dok ih korisnik ili aplikacija eksplicitno ne ukloni. Dijeli se između svih kartica i prozora koji rade pod istim izvorom (protokol + domena + port). [1][5]
sessionStorage pohranjuje podatke samo za vrijeme trajanja sesije stranice. Kada korisnik zatvori karticu ili prozor, podaci nestaju. Kritično, svaka kartica održava svoj izolirani sessionStorage, otvaranje istog URL-a u drugoj kartici ne dijeli podatke sessionStorage-a prve kartice. [1]
| Značajka | localStorage | sessionStorage |
|---|---|---|
| Postojanost | Neograničena | Samo za vrijeme trajanja kartice/prozora |
| Dijeli se između kartica | Da (isti izvor) | Ne (izolacija po kartici) |
| Preživljava ponovno učitavanje stranice | Da | Da |
| Preživljava zatvaranje kartice | Da | Ne |
| Kapacitet pohrane | ~5-10 MB po izvoru | ~5-10 MB po izvoru |
| Prijenos na server | Ne | Ne |
| HttpOnly zaštita | Nije dostupno | Nije dostupno |
Oba API-ja se pridržavaju politike istog izvora, tako da stranica na https://example.com ne može čitati pohranu postavljenu od strane https://otherdomain.com. [4]
Ima li localStorage rizike za privatnost u poređenju sa sessionStorage?
Da, localStorage nosi značajno veće rizike za privatnost od sessionStorage-a, prvenstveno zbog svoje neograničene postojanosti i pristupačnosti preko kartica.
Podaci upisani u localStorage mogu se akumulirati mjesecima ili godinama bez znanja korisnika. Oglašivači i dobavljači analitike su historijski koristili localStorage kao "super-kolačić", identifikator za praćenje koji preživljava brisanje kolačića jer većina korisnika ne pomišlja da ručno obriše pohranu preglednika. sessionStorage, nasuprot tome, samouništava se pri zatvaranju kartice, što ga čini daleko manje korisnim vektorom za praćenje.
Ključni faktori rizika za privatnost jedinstveni za localStorage:
- Postojani identifikatori za praćenje: Jedinstveni ID pohranjen u localStorage-u može pratiti korisnika kroz više posjeta bez ikakvog kolačića na strani servera.
- Curenje podataka preko kartica: Bilo koja skripta koja se pokreće u bilo kojoj kartici istog izvora može čitati sve podatke iz localStorage-a.
- Emitiranje događaja pohrane: Promjene u localStorage-u pokreću
storagedogađaj u drugim otvorenim karticama iz istog izvora, omogućavajući sinhronizaciju podataka preko kartica koju korisnici ne mogu primijetiti. [5] - Nema automatskog isteka: Za razliku od kolačića, koji podržavaju
Max-AgeiExpiresatribute, localStorage nema mehanizam TTL-a.
Mogu li web stranice pratiti korisnike koristeći localStorage i sessionStorage?
Web stranice mogu i koriste localStorage za trajno praćenje. sessionStorage je manje koristan za praćenje, ali i dalje predstavlja rizike nadzora unutar sesije.
Jedna JavaScript linija, localStorage.setItem('uid', 'abc123'), stvara trajni identifikator koji preživljava brisanje kolačića. Ova tehnika, ponekad nazvana "evercookie" ili ponovno pojavljivanje bazirano na pohrani, dokumentirana je u istraživanjima privatnosti i razlog je zašto regulatori sve više tretiraju localStorage pod istim pravilima pristanka kao i kolačiće.
sessionStorage može pratiti ponašanje unutar jedne sesije (tok stranice, unosi u obrasce, obrasci navigacije), ali ti podaci nestaju kada se kartica zatvori, ograničavajući njegovu korisnost za dugoročno profiliranje.
Koliko dugo podaci ostaju u SessionStorage-u u odnosu na LocalStorage?
Podaci iz localStorage-a ostaju dok se eksplicitno ne obrišu, bilo da korisnik obriše pohranu preglednika, web stranica pozove localStorage.removeItem() ili localStorage.clear(), ili preglednik nametne kvote za pohranu. [2]
Podaci iz sessionStorage-a se automatski brišu kada se zatvori kartica ili prozor koji ih je kreirao. Preživljavaju ponovno učitavanje stranice unutar iste kartice, ali se ne prenose na nove kartice, čak i ako korisnik duplicira karticu u nekim preglednicima. [1]
Praktična implikacija: Ako programer pohrani token sesije u localStorage umjesto u sessionStorage, taj token ostaje na uređaju nakon što se korisnik odjavi, osim ako ga aplikacija eksplicitno ne ukloni. Ovo je česta i značajna greška.
Je li SessionStorage privatniji od localStorage?
Za većinu slučajeva upotrebe privatnosti, da, sessionStorage je izbor koji više poštuje privatnost. Njegovo automatsko brisanje pri zatvaranju kartice znači da podaci ne ostaju, smanjujući izloženost od dijeljenja uređaja, ukradenih uređaja ili forenzičke analize.
Međutim, sessionStorage nije inherentno "privatan". Unutar aktivne sesije, jednako je ranjiv na XSS napade kao i localStorage. Bilo koja ubrizgana skripta može pozvati sessionStorage.getItem() i eksfiltrirati podatke u stvarnom vremenu. [3]
Odaberite sessionStorage ako: su podaci potrebni samo za trenutnu interakciju korisnika (npr. stanje obrasca u više koraka, jednokratni navigacijski tokeni).
Odaberite localStorage ako: podaci zaista trebaju trajati kroz sesije (npr. korisničke UI preferencije, neosjetljive postavke), i osigurajte da ne sadrže ništa što omogućava ličnu identifikaciju.
Koje lične podatke nikada ne bi trebalo stavljati u localStorage?
Sljedeće kategorije podataka nikada ne bi trebale biti pohranjene u localStorage (i trebale bi se tretirati s izuzetnim oprezom čak i u sessionStorage): [3]
- Tokeni za autentifikaciju (JWT-ovi, OAuth tokeni, ID-ovi sesija)
- Lozinke ili hash-evi lozinki
- Informacije o kreditnim karticama ili plaćanju
- Brojevi ličnih dokumenata koje izdaje vlada ili brojevi socijalnog osiguranja
- Puna imena u kombinaciji s e-mail adresama ili telefonskim brojevima
- Medicinski ili zdravstveni kartoni
- Bilo koji podaci klasificirani kao "posebna kategorija" prema GDPR-u (biometrijski podaci, zdravstveni podaci, politička mišljenja)
Podaci pohranjeni u localStorage-u i sessionStorage-u su po defaultu nešifrirani. Svako ko ima fizički pristup uređaju, ili bilo koja skripta sposobna za izvršavanje na stranici, može ih pročitati u običnom tekstu. [3]
Mogu li skripte trećih strana pristupiti podacima iz localStorage-a?
Skripte trećih strana mogu pristupiti podacima iz localStorage-a ako su učitane i izvršene unutar istog izvora kao i host stranica. Ovo je kritičan i često podcijenjen rizik.
Kada web stranica ugradi analitičku ili reklamnu skriptu treće strane putem <script> taga, ta skripta se pokreće u kontekstu izvora host stranice. Može slobodno čitati i pisati u localStorage stranice. Politika istog izvora ne štiti od skripti koje su namjerno ili nenamjerno uključene na stranicu. [4]
Šta to znači u praksi: Ako stranica pohranjuje korisnički identifikator u localStorage i također učitava reklamnu skriptu treće strane, ta reklamna skripta može pročitati identifikator i povezati ga s podacima o ponašanju na više stranica, bez znanja ili pristanka korisnika.
Ovo je jedan od razloga zašto su platforme za upravljanje pristankom važne. Biscotti CMP omogućava web stranicama da upravljaju i dokumentiraju pristanak korisnika za operacije pohrane, uključujući praćenje bazirano na localStorage-u, pomažući stranicama da ispune svoje obaveze prema GDPR-u i sličnim okvirima.
Koje su GDPR implikacije korištenja localStorage-a?
Prema GDPR-u, svaka pohrana ličnih podataka ili identifikatora za praćenje, bez obzira na tehnički mehanizam, zahtijeva pravnu osnovu. Za nebitno praćenje putem localStorage-a, ta osnova je gotovo uvijek eksplicitan pristanak korisnika. [2]
Evropski odbor za zaštitu podataka potvrdio je da localStorage koji se koristi za analitiku, oglašavanje ili profiliranje korisnika potpada pod iste zahtjeve za pristanak kao i kolačići. Web stranice koje postavljaju identifikatore za praćenje u localStorage bez prethodnog pristanka suočavaju se s istom izloženošću provedbi kao i one koje koriste kolačiće bez pristanka.
Kontrolna lista usklađenosti za localStorage prema GDPR-u:
- Provjerite sve ključeve localStorage-a koje su napisale skripte prve i treće strane.
- Klasificirajte svaki ključ: je li strogo neophodan za uslugu, ili se koristi za analitiku/oglašavanje?
- Za nebitnu pohranu, zaštitite operaciju pisanja dokumentiranim pristankom korisnika.
- Omogućite korisnicima jasan mehanizam za povlačenje pristanka i pokretanje brisanja pohrane.
- Dokumentirajte legitimni interes kontrolora podataka ili zapis o pristanku.
Pravilno konfigurirana platforma za upravljanje pristankom kao što je Biscotti CMP može automatizirati veći dio ovog životnog ciklusa pristanka.
Može li se localStorage pristupiti preko različitih web stranica?
Ne. localStorage je strogo ograničen na izvor (kombinacija protokola + domene + porta) koji ga je kreirao. Skripta na https://siteA.com ne može čitati podatke iz localStorage-a postavljene od strane https://siteB.com. [4]
Međutim, ova zaštita ima ograničenja. Ako jedan pružatelj oglašavanja ili analitike učitava svoje skripte na siteA.com i siteB.com, svaka instanca piše u localStorage te odgovarajuće stranice neovisno. Pružatelj zatim korelira podatke na strani servera, efikasno postižući praćenje preko stranica bez kršenja politike istog izvora.
Kako inkognito način rada i privatno pregledavanje utječu na localStorage?
Privatno/inkognito pregledavanje stvara privremenu particiju za pohranu koja se briše kada se privatni prozor zatvori. localStorage napisan tokom inkognito sesije ne ostaje u glavnom profilu preglednika i nije dostupan redovnim prozorima za pregledavanje.
sessionStorage se ponaša isto u inkognito načinu kao i u redovnom pregledavanju: briše se kada se kartica zatvori.
Važne napomene:
- Unutar aktivne inkognito sesije, localStorage je i dalje čitljiv svim skriptama koje se pokreću u kontekstu istog izvora te sesije.
- Inkognito način rada ne sprječava eksfiltraciju podataka u stvarnom vremenu baziranu na XSS-u.
- Neki preglednici sinhroniziraju localStorage preko uređaja ako je korisnik prijavljen na sinhronizaciju preglednika, ponašanje koje može premjestiti "lokalne" podatke u infrastrukturu oblaka.
Kako obrisati SessionStorage i localStorage radi privatnosti?
Brisanje pohrane preglednika je jednostavno, ali zahtijeva namjernu akciju jer preglednici to ne rade automatski za localStorage.
Brisanje na nivou preglednika:
- Chrome: Postavke > Privatnost i sigurnost > Obriši podatke pregledavanja > Keširane slike i datoteke + Podaci o stranici
- Firefox: Postavke > Privatnost i sigurnost > Kolačići i podaci o stranici > Obriši podatke
- Safari: Postavke > Privatnost > Upravljanje podacima web stranice
Programsko brisanje (za programere):
localStorage.clear()uklanja sve ključeve za izvor.sessionStorage.clear()uklanja sve ključeve za trenutnu sesiju kartice.localStorage.removeItem('keyName')uklanja određeni ključ.
Za krajnje korisnike zabrinute zbog praćenja: brisanje "podataka o stranici" ili "kolačića i pohrane" u postavkama preglednika uklanja sadržaj localStorage-a i sessionStorage-a za sve stranice. Proširenja preglednika dizajnirana za privatnost mogu to automatizirati na osnovu stranice ili sesije.
Koje su uobičajene greške u privatnosti koje programeri prave s web pohranom?
Najznačajnije greške imaju zajednički korijen: tretiranje klijentske pohrane kao da je sigurna baza podataka na strani servera.
- Pohranjivanje JWT-ova u localStorage: Tokeni za autentifikaciju pohranjeni u localStorage-u su dostupni bilo kojoj skripti na stranici. Jedna XSS ranjivost izlaže token svakog korisnika. Umjesto toga koristite HttpOnly kolačiće za tokene za autentifikaciju.
- Nema logike isteka: localStorage nema TTL. Programeri koji pohranjuju podatke bez izgradnje logike isteka ostavljaju zastarjele, osjetljive podatke na uređajima neograničeno.
- Pretpostavka da isti izvor znači sigurno: Politika istog izvora blokira vanjske stranice, a ne zlonamjerne skripte učitane s iste stranice (XSS, kompromitirane biblioteke trećih strana).
- Ignoriranje pristupa skripti trećih strana: Ugrađivanje analitičkih ili reklamnih skripti bez provjere šta čitaju iz localStorage-a.
- Nema pristanka za pohranu za praćenje: Upisivanje analitičkih identifikatora u localStorage prije dobivanja pristanka korisnika, što je direktno kršenje GDPR-a. [2]
- Pohranjivanje redundantnih PII: Keširanje API odgovora koji uključuju pune korisničke profile u localStorage "radi performansi" bez razmatranja površine izloženosti.
Je li IndexedDB privatniji od localStorage?
IndexedDB nije inherentno privatniji od localStorage-a. Oba su regulirana politikom istog izvora, oba su dostupna JavaScriptu koji se pokreće na stranici, i oba su ranjiva na XSS napade.
IndexedDB nudi veći kapacitet pohrane i podržava strukturirane podatke i binarne blobove, što ga čini pogodnim za složene offline aplikacije. Ali sa stanovišta privatnosti i sigurnosti, rizici su uporedivi. Podaci pohranjeni u IndexedDB-u su također nešifrirani po defaultu, i traju neograničeno dok se eksplicitno ne obrišu.
Izbor između IndexedDB-a i localStorage-a trebao bi biti vođen složenošću podataka i zahtjevima za volumenom, a ne pretpostavkama o privatnosti. Ni jedno ni drugo nije prikladno za osjetljive lične podatke bez enkripcije na nivou aplikacije i strogih kontrola pristupa.
Zaključak
Debata SessionStorage vs. LocalStorage: Implikacije na privatnost Web Storage API-ja nije samo tehnička fusnota, ona ima direktne posljedice na privatnost korisnika, regulatornu usklađenost i sigurnost aplikacija. Neograničena postojanost localStorage-a i pristupačnost preko kartica čine ga mehanizmom pohrane visokog rizika kada se zloupotrijebi, dok automatsko brisanje sessionStorage-a pri zatvaranju kartice čini ga obranjivijim izborom za privremeno stanje.
Akcioni koraci za programere i vlasnike web stranica u 2026. godini:
- Provjerite svu upotrebu localStorage-a i sessionStorage-a u skriptama prve i treće strane koristeći DevTools preglednika (kartica Aplikacija).
- Odmah uklonite sve tokene za autentifikaciju, PII ili osjetljive identifikatore iz klijentske pohrane.
- Zamijenite pohranu tokena za autentifikaciju baziranu na localStorage-u s HttpOnly, Secure kolačićima kojima se upravlja na strani servera.
- Implementirajte radni tok upravljanja pristankom, koristeći platformu kao što je Biscotti CMP, kako biste zaštitili nebitne upise u localStorage dokumentiranim pristankom korisnika.
- Izgradite logiku isteka u svim podacima iz localStorage-a koji moraju trajati, i provedite čišćenje pri odjavi.
- Provedite reviziju skripti trećih strana kako biste razumjeli šta vanjski kod može čitati iz pohrane vašeg izvora.
- Obučite razvojne timove o prevenciji XSS-a kao primarnom vektoru napada na oba tipa pohrane.
Web storage API-ji su moćni alati. Korišteni bez discipline privatnosti, postaju vektori odgovornosti. Korišteni s namjernim opsegom, upravljanjem pristankom i sigurnosnom higijenom, služe svojoj namjeni bez ugrožavanja korisnika koji vjeruju vašoj aplikaciji.
Često postavljana pitanja
P: Koja je glavna razlika između sessionStorage i localStorage? localStorage trajno pohranjuje podatke kroz sesije i dijeli se između svih kartica istog izvora. sessionStorage pohranjuje podatke samo za vrijeme trajanja trenutne kartice i automatski se briše kada se kartica zatvori.
P: Može li se localStorage koristiti za praćenje korisnika bez kolačića? Da. Jedinstveni identifikator pohranjen u localStorage-u preživljava brisanje kolačića i može se koristiti za praćenje korisnika kroz više posjeta istoj stranici, funkcionirajući kao trajni mehanizam za praćenje.
P: Je li sessionStorage siguran za pohranjivanje lozinki? Ne. sessionStorage nije šifriran i dostupan je bilo kojem JavaScriptu koji se pokreće na stranici, uključujući ubrizgane zlonamjerne skripte. Lozinke nikada ne bi trebale biti pohranjene u bilo kojem mehanizmu klijentske pohrane.
P: Primjenjuje li se GDPR na localStorage? Da. Prema GDPR-u, pohranjivanje identifikatora za praćenje ili ličnih podataka u localStorage bez pravne osnove, obično eksplicitnog pristanka korisnika za nebitne svrhe, predstavlja kršenje usklađenosti ekvivalentno korištenju kolačića bez pristanka.
P: Mogu li skripte trećih strana čitati moje podatke iz localStorage-a?
Da, ako su te skripte učitane i izvršene unutar istog izvora. Analitičke ili reklamne skripte trećih strana ugrađene putem <script> tagova pokreću se u kontekstu izvora host stranice i mogu čitati sve podatke iz localStorage-a za taj izvor.
P: Briše li brisanje kolačića i localStorage? Ne uvijek. U većini preglednika, samo brisanje "kolačića" ne briše localStorage. Korisnici moraju posebno obrisati "podatke o stranici" ili "kolačiće i druge podatke o stranici" kako bi uklonili sadržaj localStorage-a.
P: Je li inkognito način rada siguran od praćenja putem localStorage-a? Inkognito način rada sprječava trajanje podataka iz localStorage-a nakon zatvaranja privatnog prozora, ali unutar aktivne inkognito sesije, localStorage je i dalje čitljiv svim skriptama na stranici.
P: Šta bih trebao koristiti umjesto localStorage-a za tokene za autentifikaciju? Koristite HttpOnly, Secure, SameSite kolačiće kojima se upravlja na strani servera. Ovi kolačići su nedostupni JavaScriptu, eliminirajući rizik krađe tokena baziran na XSS-u koji localStorage nosi.
P: Je li IndexedDB sigurniji od localStorage-a? Ne. IndexedDB je podložan istim XSS ranjivostima i politici istog izvora kao i localStorage. Nudi veći kapacitet i podršku za strukturu podataka, ali nema dodatnih garancija privatnosti ili sigurnosti.
P: Koliko podataka mogu pohraniti localStorage i sessionStorage? Većina modernih preglednika dodjeljuje približno 5 do 10 MB pohrane po izvoru za svaki tip pohrane, značajno više od ograničenja od 4 KB tipičnog za kolačiće. [2]
Reference
[1] Sessionstorage - https://developer.mozilla.org/en-US/docs/Web/API/Window/sessionStorage?utm_source=openai
[2] What Is Localstorage Sessionstorage - https://inspectwp.com/en/knowledge-base/what-is-localstorage-sessionstorage?utm_source=openai
[3] Html5 Web Storage Security Risks Safeguarding Localstorage And Sessionstorage - https://www.dopethemes.com/html5-web-storage-security-risks-safeguarding-localstorage-and-sessionstorage/?utm_source=openai
[4] Localstorage - https://javascript.info/localstorage?utm_source=openai
[5] Localstorage Sessionstorage - https://www.w3docs.com/learn-javascript/localstorage-sessionstorage?utm_source=openai
[6] Cookies Vs Localstorage Vs Sessionstorage What Each One Exactly Means - https://www.interserver.net/tips/kb/cookies-vs-localstorage-vs-sessionstorage-what-each-one-exactly-means/?utm_source=openai