access token এবং refresh token কীভাবে একসাথে কাজ করে?

Question

IT Interview Practice · Accepted Answer

দুটি token একটি সরল লাইফসাইকেল অনুসরণ করে: একটি **স্বল্পস্থায়ী access token** প্রতিটি API কলকে অনুমোদন দেয়, এবং একটি **দীর্ঘস্থায়ী refresh token** মেয়াদ শেষ হলে নীরবে নতুন access token তৈরি করে — যাতে ব্যবহারকারী credential পুনরায় না দিয়েই লগইন থাকেন।

## প্রবাহ (Flow)

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API call: Authorization: Bearer <access>
     ▼
┌────────────┐  verify signature + exp   (no DB lookup)
│ Resource   │ ──── 200 OK ────▶ (access still valid)
│ API        │ ──── 401 ───────▶ (access expired)
└────────────┘
     │  3. on 401: POST /token { refresh }
     ▼
┌────────────┐  verify + rotate
│ Auth server│ ──── new access (+ new refresh) ────▶ retry the call
└────────────┘
```

1. **Login** — ব্যবহারকারী একবার authenticate করেন; server একটি **access token** (স্বল্প TTL) এবং একটি **refresh token** (দীর্ঘ TTL) ফেরত দেয়।
2. **API অ্যাক্সেস** — client প্রতিটি request-এ `Authorization: Bearer …`-এ access token পাঠায়। API এটি stateless-ভাবে (signature + `exp`) যাচাই করে সাড়া দেয় — কোনো session store লাগে না।
3. **মেয়াদ শেষে refresh** — API যখন `401` ফেরত দেয় (বা client দেখে `exp` কাছাকাছি), client auth server-এর `/token` endpoint-এ **refresh token** POST করে এবং একটি নতুন access token পায়, তারপর মূল request-টি পুনরায় চেষ্টা করে। ব্যবহারকারী কিছুই টের পান না।
4. **Logout / revoke** — server refresh token মুছে দেয় বা denylist করে; পরবর্তী refresh ব্যর্থ হয় এবং session শেষ হয় (বর্তমান access token তবুও কয়েক মিনিটে নিজে থেকে মরে যায়)।

```js
// Client interceptor: 401-এ একবার refresh, তারপর retry।
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // পুনরায় চেষ্টা
  }
  return res;
}
```

## Refresh token rotation

সর্বোত্তম প্র্যাকটিস হলো **rotation**: প্রতিটি refresh কল একটি *নতুন* refresh token ফেরত দেয় এবং পুরনোটিকে অকার্যকর করে। যদি একটি পুরনো (ইতিমধ্যে ব্যবহৃত) refresh token আবার উপস্থাপন করা হয়, সেটি চুরির ইঙ্গিত দেয় — server পুরো token family revoke করে এবং re-login বাধ্য করে। এটি একটি চুরি হওয়া refresh token-এর ক্ষতি সীমিত করে।

## সংরক্ষণ (Storage)

- **Refresh token** → `httpOnly`, `Secure`, `SameSite` cookie যাতে JavaScript (এবং তাই XSS) এটি পড়তে না পারে।
- **Access token** → client-এ memory-তে রাখা হয়; স্বল্প জীবন উন্মোচন সীমিত করে।
- সম্ভব হলে কোনোটিই `localStorage`-এ রাখবেন না — এটি যেকোনো injected script দ্বারা পাঠযোগ্য।

## এটি কেন গুরুত্বপূর্ণ

এই প্রবাহটি আধুনিক SPA, mobile app এবং API-তে session management-এর মেরুদণ্ড, তাই ইন্টারভিউয়াররা আশা করেন আপনি এটি শুরু থেকে শেষ পর্যন্ত ট্রেস করবেন: login-এ দুটোই ইস্যু করুন, access token দিয়ে অনুমোদন দিন, মেয়াদ শেষে স্বচ্ছভাবে refresh করুন, এবং নিরাপত্তার জন্য rotate + revoke করুন। বিস্তারিত ঠিক করা — stateless verification, শুধু token endpoint-এ refresh, reuse detection সহ rotation, এবং `httpOnly` সংরক্ষণ — একটি মসৃণ, নিরাপদ session এবং এমন একটির মধ্যে পার্থক্য যেখানে একটি চুরি হওয়া token মানে দীর্ঘস্থায়ী account takeover।

প্রবাহ (Flow)

Refresh token rotation

সংরক্ষণ (Storage)

এটি কেন গুরুত্বপূর্ণ

সম্পর্কিত প্রশ্ন