javascript中请求到access_token保存到哪里?

我前端页面发起请求从服务器得到access_token,那web端是用js保存到sessionStorage中吗?
还是放到cookie中,但cookie应该是http only的,那js应该操作不了吧

---

sessionStorage我们是放在这里面的