ハイブリッドアプリにおけるLocal Storageのセキュリティについて

前提

Monacaを利用してハイブリッドアプリを作成しています。
普段Webサイト・システム構築を生業としていますが、ハイブリッドアプリの作成に関しては初です。
あくまでも現時点では練習として行っています。

実装したい処理についてですが、ハイブリッドアプリ側からのログインとセッションの維持です。

ネイティブアプリ（Twitter、Instagram、LINE等）と同じように、
一度ログインしてしまえば自主的にログアウトしない限りログイン状態が維持される状態を作ろうとしています。

▼参考記事
HTML5のLocal Storageを使ってはいけない（翻訳）

ハイブリッドアプリの場合、PHPのようなサーバーサイド言語は使用できないので、
通常の会員制サイト等を作るような書き方ができません。

そこでLocal Storageに目を付けました。
上記記事にある通り、会員制Webサイトを作る場合Local Storageにセッション情報を保存するのはセキュリティの観点からタブーということは理解しています。

しかし、「ハイブリッドアプリの場合はブラウザのように検証ツール等がないため利用者はソースコードの確認等ができない」と私は認識しています。

質問①

「ハイブリッドアプリの場合はブラウザのように検証ツール等がないため利用者はソースコードの確認等ができない」
→この認識は間違っていますか？

質問②

ハイブリッドアプリでログイン用ＩＤとログイン用パスワードを入力
ajax（非同期通信）で入力した値をWeb上([https://test.com/_auth.php]等)にPOST送信
ＩＤとパスワードが一致した場合セッションキーのようなものを発行
発行したセッションキーをハイブリッドアプリに送り返す
ハイブリッドアプリ側で受け取ったセッションキーをLocal Storageに保存
Local Storageにセッションキーが存在する場合はログイン状態継続
自主的にログアウトした場合Local Storageをクリア

こういった実装をしようと思っています。
この実装においてLocal Storageにセッションキーを保存することで発生するデメリットはありますか？

補足情報（FW/ツールのバージョンなど）

Monaca
PHP 8.1
※サーバーはレンタルサーバーです
参考：HTML5のLocal Storageを使ってはいけない（翻訳）
参考：[Monaca] ストレージの利用について

m.ts10806

2022/12/03 12:30

Local Storageは保存された情報をユーザが確認できるのはご存じですか？

Webtuuuu

2022/12/04 05:30

いいえ、知りませんでした。

m.ts10806

2022/12/04 06:55

ブラウザの開発ツール（デベロッパツール）を色々確認してみてください。WindowsだとF12で起動されます（ブラウザの種類によってメニュー名など違うので、そこは自身のブラウザにあわせて調べてみてください）そもそもWebStorage自体はユーザのブラウザ（のストレージ）に情報を保存する技術で、あくまでクライアント側の話なので、おそらく想定されているようなものではないと思われます。

m.ts10806

2022/12/04 09:52 編集

ただ、参照されている記事「HTML5のLocal Storageを使ってはいけない（翻訳）」にちゃんと書かれていますね。割と最初の方。＞次にDeveloper Toolsを開いてみると、userName変数とfavoriteColor変数のどちらもブラウザのlocal storageに保存されていることがわかります。実現したいこと云々より記事への理解が先かもしれません。いずれにしても以下の質問タグはつけたほうが良さそうです。 https://teratail.com/tags/Monaca https://teratail.com/tags/JavaScript

Webtuuuu

2022/12/04 10:02

PC等でデベロッパツールを利用しLocal Storageを閲覧することは可能だということは承知しております。しかし、それは「Web」におけるものであるためハイブリッドアプリはこれに当てはまらないと思いました。そのためWebでLocal Storageを使用することは当然ありませんが、ハイブリッドアプリでのLocal Storageの利用はデベロッパーツールが無い以上確認のしようがないのでは無いのか。というのが質問の1に当たります。記載して頂いたコメントは「Web」であればそのとおりなのですがあくまでも今回はハイブリッドアプリとしての実装となります。

m.ts10806

2022/12/04 10:08

ハイブリッドアプリはWebの側面も併せ持ったものという認識です。 Webアプリである限り、そこにあるので見る手段はゼロではないと（物凄く詳しいわけではないので、あくまで可能性として） URLを持つ可能性があるのでしたら、一般的に普通のブラウザからのアクセスも可能となるはずで、少しでも懸念があるなら、より安全な方法での実装と運用をすべきという、いち意見です。