Cookie или localStorage?
Где хочешь - там и храни. Всё что хранится на фронте - известно "всем и каждому".
Где хранить токен?
localStorage удобнееКак обезопасить приложение (React js)?
Это слишком общий вопрос, на который получишь ответ вроде - "на сервере". И делай с ним что хочешь.
Что касается токенов, то есть полно инструкций. И готовых решений.