¿Por qué no almacenar el token de acceso JWT en la memoria y el token de actualización en una cookie?

Ya se han formulado muchas preguntas sobre cómo almacenar de forma segura los tokens JWT al trabajar con una aplicación basada en navegador. El consenso parece ser que se deben utilizar cookies seguras de uso exclusivo de HTTP. Sin embargo, parece que existen muchas variaciones en cuanto a cómo almacenar los tokens JWT cuando se utilizan tanto tokens de acceso de corta duración como tokens de actualización de larga duración.

He identificado las siguientes variaciones:

1. Almacenar tanto el token de acceso JWT como el token de actualización en cookies seguras de uso exclusivo de HTTP

Ventajas:
– Los tokens de acceso y de actualización no se pueden acceder desde JavaScript

Desventajas:
– Introduce vulnerabilidades de tipo CSRF, por lo que también se debe añadir un token CSRF

La respuesta principal de aquí aconseja añadir tokens CSRF: https://stackoverflow.com/a/37396572/6735966

2. Almacenar un token de acceso JWT en memoria y el token de actualización en una cookie segura de uso exclusivo de HTTP

Ventajas:
– El token de actualización no se puede acceder desde JavaScript
– El token de acceso se envía a través de JavaScript, por lo que no está expuesto a CSRF
– La cookie de actualización solo se puede utilizar para obtener un nuevo token de acceso. Si se configura el CORS correctamente, no es posible leer el token de acceso de la respuesta a través de una solicitud de otro dominio por parte de un tercero malicioso. Por lo tanto, este enfoque parece seguro frente a CSRF.

Desventajas:
– El token de acceso se puede acceder a través de JavaScript (pero expira rápidamente)

Se recomienda aquí, aunque obtuvo muchos menos votos que la publicación principal: https://stackoverflow.com/a/63593954/6735966

3. Almacenar un token de actualización en memoria y el token de acceso JWT en una cookie segura de uso exclusivo de HTTP

Ventajas:
– El token de acceso no se puede acceder desde JavaScript
– El token de actualización se envía a través de JavaScript, por lo que no está expuesto a CSRF

Desventajas:
– El token de actualización de larga duración se puede acceder desde JavaScript
– El token de acceso es vulnerable a CSRF

Se describe un enfoque similar en la respuesta principal de aquí: https://stackoverflow.com/a/54378384/6735966

Teniendo en cuenta las ventajas y desventajas, almacenar el token de acceso JWT en memoria y el token de actualización en una cookie segura de uso exclusivo de HTTP definitivamente parece una buena idea para mí. Sin embargo, a pesar de que hay muchas preguntas sobre este tema, ninguna de las respuestas más votadas considera este enfoque. Por lo tanto, mi pregunta es: ¿Por qué no almacenar el token de acceso JWT en memoria y el token de actualización en una cookie, en lugar de utilizar algunos de los otros enfoques?