Насколько легко(или сложно) будет злоумышленнику похитить access_token из local storage?
Для cookies можно на сервере задать следующие флаги
Secure - The Cookie will be sent in secure channel--HTTPS
HttpOnly- Don't allow local scripts read cookies.
Из javascript уже не достать будет.
Подробный разбор этого вопроса на английском языке. Вкратце – советуют использовать Cookies.