access_token保存

我有一个网站。

该网站在登陆时跳转到托管登录页,一旦登录成功,我自己的网站就记住access_token,下次用户打开站点的时候,我们在通过refresh_token刷新一下access_token,如果用户长时间不打开,则跳转到托管登录重新登录。

我如何保存access_token和refresh_token ?是放在cookies里吗?放里面会不会不安全。