pinia 本身不内置持久化功能，但可通过 pinia-plugin-persistedstate 插件将非敏感 state 字段（如 ui 状态、筛选条件）存入 sessionstorage；敏感数据（如 token、用户身份标识）绝不能直接存储，须剥离或仅内存保留，并配合 httponly cookie 等服务端机制保障安全。
Pinia 本身不内置持久化功能，但可通过插件机制轻松实现数据存入 sessionStorage。对敏感数据（如 token、用户身份标识、临时凭证等），**绝不能直接存入 sessionStorage** —— 它是前端可读、无加密、易被脚本窃取的存储方式。正确做法是：只存非敏感字段（如 UI 状态、筛选条件、分页页码），或对敏感内容做前置脱敏/剥离处理。
用 pinia-plugin-persistedstate 实现 sessionStorage 持久化
这是最常用、轻量且配置灵活的插件。它默认使用 localStorage，但可手动指定为 sessionStorage：
- 安装：
npm install pinia-plugin-persistedstate - 在 Pinia store 创建时启用插件，并传入
storage: sessionStorage - 每个 store 可独立配置哪些 state 字段需要持久化（通过
key和paths）
示例（store/user.ts）：
const userStore = defineStore('user', {state: () => ({
name: '',
avatar: '',
token: '', // ❗敏感字段，不应持久化
lastSearch: '', // ✅ 非敏感，可存
theme: 'light'
}),
persist: {
storage: sessionStorage,
paths: ['name', 'lastSearch', 'theme'] // 显式声明要存的字段
}
});
敏感数据必须剥离或替换后再持久化
即使你控制了 paths，也要警惕隐式泄露。例如：
- 不要把含
token的完整用户对象整个存入 state；应拆分为userInfo（公开）和auth（仅内存保留）两个 store - 若需“记住登录状态”，应只存
userId或expiresAt时间戳，token 本身始终保留在内存中，并在页面刷新后通过 refreshToken 流程重新获取 - 避免在 devtools 或 console 中意外打印敏感字段（可用
console.log(JSON.stringify(state, (k, v) => k === 'token' ? undefined : v))过滤）
sessionStorage 的边界与替代建议
sessionStorage 生命周期仅限当前标签页，关闭即清空，看似“更安全”，但实际仍存在风险：
- 同源页面内任意脚本均可读写，XSS 攻击下毫无防护力
- 无法防止用户主动查看（F12 → Application → Session Storage）
- 不适合长期或跨会话状态管理
替代方案参考：
- 纯前端敏感态：用 内存变量 + reactive/ref 管理，配合 onBeforeUnmount 清理
- 需服务端协同的身份态：依赖 HttpOnly Cookie 存 session id，前端仅持无意义标识
- 极低敏感度缓存（如地区偏好）：可用
sessionStorage，但务必确保不含任何可关联真实身份的信息
不复杂但容易忽略：持久化不是目标，安全地管理状态才是。Pinia 插件只是工具，关键在设计时就明确每条数据的敏感等级和生命周期。
