Conas a oibríonn access tokens agus refresh tokens le chéile?

Question

IT Interview Practice · Accepted Answer

Leanann an dá token saolré simplí: údaraíonn **access token gearrshaolach** gach glao API, agus buaileann **refresh token fadsaolach** access tokens nua go ciúin nuair a imíonn siad in éag — mar sin fanann an t-úsáideoir logáilte isteach gan dintiúir a athiontráil.

## An sreabhadh

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API call: Authorization: Bearer <access>
     ▼
┌────────────┐  verify signature + exp   (no DB lookup)
│ Resource   │ ──── 200 OK ────▶ (access still valid)
│ API        │ ──── 401 ───────▶ (access expired)
└────────────┘
     │  3. on 401: POST /token { refresh }
     ▼
┌────────────┐  verify + rotate
│ Auth server│ ──── new access (+ new refresh) ────▶ retry the call
└────────────┘
```

1. **Login** — fíordheimhníonn an t-úsáideoir uair amháin; filleann an freastalaí **access token** (TTL gearr) agus **refresh token** (TTL fada).
2. **Glaonna API** — seolann an cliant an access token in `Authorization: Bearer …` ar gach iarratas. Fíoraíonn an API go stateless é (síniú + `exp`) agus freagraíonn — níl stór seisiúin ag teastáil.
3. **Refresh nuair a imíonn in éag** — nuair a fhilleann an API `401` (nó nuair a fheiceann an cliant go bhfuil `exp` gar), POSTálann an cliant an **refresh token** chuig endpoint `/token` an fhreastalaí fíordheimhnithe agus faigheann access token úr, ansin déanann iarracht ar an iarratas bunaidh arís. Ní thugann an t-úsáideoir aon rud faoi deara.
4. **Logáil amach / cúlghairm** — scriosann an freastalaí an refresh token nó cuireann ar liosta diúltaithe é; teipeann an chéad refresh eile agus críochnaíonn an seisiún (faigheann an access token reatha bás as féin fós laistigh de nóiméid).

```js
// Idircheapóir cliaint: refresh uair amháin ar 401, ansin déan iarracht arís.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // déan iarracht arís
  }
  return res;
}
```

## Rothlú refresh token

Is é an cleachtas is fearr ná **rothlú**: filleann gach glao refresh refresh token *nua* agus neamhbhailíochtaíonn an seancheann. Má chuirtear seancheann refresh token (a úsáideadh cheana) i láthair arís, comharthaíonn sé sin goid — cúlghaireann an freastalaí an teaghlach token ar fad agus cuireann iallach ar athlogáil isteach. Cuireann sé seo teorainn le damáiste refresh token goidte.

## Stóráil

- **Refresh token** → cuki `httpOnly`, `Secure`, `SameSite` ionas nach féidir le JavaScript (agus dá bhrí sin XSS) é a léamh.
- **Access token** → coinnithe sa chuimhne ar an gcliant; cuireann a shaol gearr teorainn le nochtadh.
- Ná cuir ceachtar acu i `localStorage` má fhéadann tú é a sheachaint — is féidir le haon script instealta é a léamh.

## Cén fáth a bhfuil sé tábhachtach

Is é an sreabhadh seo cnámh droma bhainistíocht seisiún i SPAanna nua-aimseartha, aipeanna móibíleacha agus API-anna, mar sin bíonn agallóirí ag súil go rianóidh tú ó cheann go ceann é: eisigh an dá cheann ag logáil isteach, údaraigh leis an access token, refresh go trédhearcach ar éag, agus rothlaigh + cúlghair ar mhaithe le sábháilteacht. Na sonraí a fháil ceart — fíorú stateless, refresh ag an token endpoint amháin, rothlú le brath athúsáide, agus stóráil `httpOnly` — sin an difríocht idir seisiún réidh sábháilte agus ceann ina gciallaíonn token goidte amháin táthcheangal cuntais fhadtéarmach.

An sreabhadh

Rothlú refresh token

Stóráil

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara