另一方面，在数据存储的时效上，localStorage并不会像Cookie那样可以设置数据存活的时限，只要用户不主动删除，localStorage存储的数据将会永久存在。
根据以上对存储方式和存储时效的分析，建议不要使用localStorage方式存储敏感信息，那怕这些信息进行过加密。
(3) 严格过滤输入输出
对于本地存储，为了方便再次加载数据，常常会把数据存储在本地。等再此加载的时候，直接从本地读取数据显示在网页上。在某些情况下，在通过在localStorage存储中写入或读取数据的时候，如果数据没有经过输入输出严格过滤，那么极易可能这些数据被作为HTML代码进行解析，从而产生XSS攻击。
Twitter就发生过localStorage XSS漏洞。次漏洞触发的条件是，在Twitter的个人主页上执行以下存储代码后，每次再打开个人主页时就会弹出/xss/框。
从这段代码可以看出，Twitter会使用localStorage方法把一些个人数据存储到本地，每次加载个人主页面的时候就会从本地存储取数据，然后由于Twitter忽略了对去除数据的严格过滤导致存储的代码会被当作HMTL编码执行，进而发生跨站攻击。
Twitter localStorage XSS 漏洞详细信息可以查看：http://www.wooyun.org/bugs/ wooyun-2010-03075。虽然Twitter这个漏洞利用起来非常困难，但它再一次告诉我们本着一切输入输出都是有害的原则，要对数据进行严格的输入输出过滤。
(4) 容易遭受跨目录攻击
localStroage存储方式不会像Cookie存储一样可以指定域中的路径，在localStroage存储方式中没有域路径的概念。也就是说，如果一个域下的任意路径存在XSS漏洞，整个域下存储的数据，在知道存储名称的情况下，都可以被获取到。
假设下面两个链接是使用localStorage来存储数据：
http://h.example.com/xisigr
http://h.example.com/xhack
用户xisigr和xhack各自的blog链接虽然属于同一个域，但却有不同的路径，一个路径为xisigr，另一个路径为xhack。假设xisigr用户发现自己的路径下存在存储型XSS漏洞，那么就可以在自己的blog中加入获取数据代码，其中核心代码为localStorage.getItem(“name”)。xhack用户并不需要登录blog,他只要访问http://h.example.com/xisigr，本地存储数据就会被获取到。
(5) 容易遭受DNS欺骗攻击
Google在没有使用HTML5本地存储前，是使用Google Gears方式来进行本地存储的，那个时候Google Gears就遭到过DNS欺骗攻击。Google Gears支持离线存储，可以把Gmail,WordPresss这样网站数据的以SQLite数据库的形式存储下来，以后用户就可以对存储的网站数据进行离线读取或删除操作。如果攻击者发动DNS欺骗攻击，那么就可以注入本地数据库，获取数据或者留下永久的后门。这样将会造成对用户持久的危害。Google Gears所遭受的DNS欺骗攻击方式在HTML5本地存储上也是同样有效的。
