AWSのAmplify JS（ライブラリ）を使ってWeb フロントエンドからCognito（認証サービス）にログインすると、デフォルトでローカルストレージにアクセストークンやリフレッシュトークンが保存されます。これはXSSのセキュリティリスクがあると思われますが、Cognito側で利用可能Device ID（ローカルストレージで固有のID。ローカルストレージを作り直すと新しい値になる）を指定することができます。つまり流出したトークンは使用不可となります。これによりどの程度XSSなどのセキュリティリスクが軽減されるのか、専門家としての意見をお聞かせいただけると幸いです。