Γιατί χρειάζεστε και access token και refresh token;

Question

IT Interview Practice · Accepted Answer

Τα δύο tokens υπάρχουν για να λύσουν μια άμεση σύγκρουση: ένα access token πρέπει να **αποστέλλεται σε κάθε request** (οπότε εκτίθεται πολύ), αλλά ταυτόχρονα θέλετε συνεδρίες που **διαρκούν πολύ** χωρίς να επιβάλλουν συχνά logins. Δεν μπορείτε να έχετε και τα δύο με ασφάλεια σε ένα token — γι' αυτό διαχωρίζετε την εργασία.

## Οι δύο ρόλοι

- **Access token** — βραχύβιο (τυπικά 5–15 λεπτά), αποστέλλεται στο header `Authorization` σε κάθε κλήση API. Επειδή μεταδίδεται συνεχώς, η διαρροή είναι πιθανή· η σύντομη διάρκειά του σημαίνει ότι ένα κλεμμένο λήγει σχεδόν αμέσως.
- **Refresh token** — μακρόβιο (μέρες/εβδομάδες), αποστέλλεται **μόνο** στο token endpoint του auth server για την απόκτηση νέων access tokens. Ταξιδεύει σπάνια, μπορεί να αποθηκευτεί πιο ασφαλώς και μπορεί να ανακληθεί από την πλευρά του server.

```
Login ──▶ access (15m) + refresh (30d)
Every API call ──▶ send access
Access expired ──▶ send refresh ──▶ new access (+ rotated refresh)
```

## Γιατί όχι μόνο ένα token;

| | Ένα μακρόβιο access token | Access + refresh |
|---|---|---|
| Έκθεση | Αποστέλλεται σε κάθε request, ζει πολύ → μεγάλο παράθυρο κλοπής | Access βραχύβιο· refresh σπάνια αποστελλόμενο |
| Ανάκληση | Δύσκολη (το stateless JWT δεν μπορεί να «ξεκδοθεί») | Ανακαλέστε το refresh token· το access πεθαίνει μέσα σε λεπτά |
| UX | Συχνό εκ νέου login αν είναι σύντομο | Παραμένει συνδεδεμένος χωρίς επανεισαγωγή διαπιστευτηρίων |
| Ακτίνα ζημιάς διαρροής | Μεγάλη | Μικρή (το access λήγει γρήγορα) |

- **Ένα σύντομο access token, χωρίς refresh** → ασφαλές, αλλά ο χρήστης αποσυνδέεται κάθε λίγα λεπτά. Απαίσιο UX.
- **Ένα μακρύ access token** → εξαιρετικό UX, αλλά ένα διαρρεύσαν token είναι έγκυρο για πολύ και δεν ανακαλείται εύκολα.
- **Access + refresh** → σύντομο παράθυρο έκθεσης *και* μακριές συνεδρίες. Το refresh token είναι το μόνο μακρόβιο μυστικό και βρίσκεται σε ένα ασφαλές μέρος.

## Τι επιτρέπει ο διαχωρισμός

- **Ανάκληση παρά τα stateless access tokens.** Δεν μπορείτε να ακυρώσετε ένα JWT access token πριν λήξει, αλλά *μπορείτε* να διαγράψετε/απορρίψετε το refresh token, οπότε η συνεδρία τελειώνει στο επόμενο refresh (μέσα σε λεπτά).
- **Rotation του refresh token** — εκδώστε ένα νέο refresh token σε κάθε χρήση και ανιχνεύστε την επαναχρησιμοποίηση ενός παλιού (ένδειξη κλοπής), και μετά ανακαλέστε ολόκληρη την αλυσίδα.
- **Ελάχιστη έκθεση** — το μακρόβιο μυστικό (refresh) αποστέλλεται σε ακριβώς ένα endpoint, ιδανικά αποθηκευμένο σε ένα cookie `httpOnly`, εκτός εμβέλειας του XSS.

## Γιατί έχει σημασία

Αυτός είναι ο τυπικός σύγχρονος σχεδιασμός auth, και οι συνεντευκτές τον ρωτούν για να δουν αν κατανοείτε το *γιατί*, όχι μόνο το *πώς*. Η βασική ιδέα είναι ο συμβιβασμός: statelessness και σύντομη έκθεση (access) έναντι μακρών συνεδριών και δυνατότητας ανάκλησης (refresh). Το να το κάνετε λάθος — ένα μακρόβιο access token, χωρίς rotation, refresh αποθηκευμένο στο `localStorage` — μετατρέπει ένα μόνο διαρρεύσαν token σε μακροχρόνια παραβίαση λογαριασμού. Το να ονομάσετε τον διαχωρισμό και τι σας προσφέρει το κάθε token είναι αυτό που αναμένεται να γνωρίζει ένας μηχανικός με επίγνωση ασφάλειας.

	Ένα μακρόβιο access token	Access + refresh
Έκθεση	Αποστέλλεται σε κάθε request, ζει πολύ → μεγάλο παράθυρο κλοπής	Access βραχύβιο· refresh σπάνια αποστελλόμενο
Ανάκληση	Δύσκολη (το stateless JWT δεν μπορεί να «ξεκδοθεί»)	Ανακαλέστε το refresh token· το access πεθαίνει μέσα σε λεπτά
UX	Συχνό εκ νέου login αν είναι σύντομο	Παραμένει συνδεδεμένος χωρίς επανεισαγωγή διαπιστευτηρίων
Ακτίνα ζημιάς διαρροής	Μεγάλη	Μικρή (το access λήγει γρήγορα)

Οι δύο ρόλοι

Γιατί όχι μόνο ένα token;

Τι επιτρέπει ο διαχωρισμός

Γιατί έχει σημασία

Σχετικές ερωτήσεις