HOMELv027 SPA（シングルページアプリケーション）において、XSS攻撃によるトークン奪取を防ぐため、アクセストークンやリフレッシュトークンを `localStorage` ではなくどこに保存するのが推奨されるか。 2026年3月5日 `HttpOnly` Cookieに保存すれば、JavaScriptからアクセスできないため、XSS脆弱性があってもトークン自体を盗み出すことは困難になる。 OAuth 2.0において、リフレッシュトークンのローテーション（Refresh Token Rotation）を行う主なセキュリティ上の利点は何か。 BGPルート漏洩（Route Leak）やハイジャックを防ぐために、ネットワーク事業者が相互にフィルタリング情報を公開・検証するイニシアティブはどれか。
