HMAC JavaScript（Vue）应用程序授权-私钥存储在哪里？

Question

我正在为单页Vue应用程序实现HMAC授权。基本工作流程如下：

1. 用户使用用户名和密码发送请求
2. 服务器检查凭据，并在成功登录后返回公钥和私钥
3. 对于任何其他请求，客户端使用请求URI，数据和私钥生成HMAC。服务器使用相同的数据生成散列，以查看它们是否匹配。

我的问题是为客户端存储私钥最安全的方法是什么？ localStorage似乎是不安全的，并且仅安全HTTPS Cookies可以工作，但是JS必须访问它才能为每个请求生成HMAC吗？在这种情况下最好的解决方法是什么？