Cén fáth a bhfuil access token agus refresh token araon de dhíth ort?

Question

IT Interview Practice · Accepted Answer

Tá an dá token ann chun coinbhleacht dhíreach a réiteach: caithfear access token a **sheoladh ar gach iarratas** (mar sin nochtar go mór é), ach teastaíonn seisiúin uait freisin a **mhaireann tamall fada** gan logáil isteach go minic a bhrú. Ní féidir leat an dá rud a bheith agat go sábháilte in aon token amháin — mar sin roinneann tú an post.

## An dá ról

- **Access token** — gearrshaolach (5–15 nóiméad de ghnáth), seolta sa cheanntásc `Authorization` ar gach glao API. Toisc go dtarchuirtear go leanúnach é, is dócha sceitheadh; má choinnítear gearr é ciallaíonn sé go n-imíonn ceann goidte in éag beagnach láithreach.
- **Refresh token** — fadsaolach (laethanta/seachtainí), seolta **amháin** chuig token endpoint an fhreastalaí fíordheimhnithe chun access tokens nua a fháil. Taistealaíonn sé go hannamh, is féidir é a stóráil níos sábháilte, agus is féidir é a chúlghairm ar thaobh an fhreastalaí.

```
Login ──▶ access (15m) + refresh (30d)
Every API call ──▶ send access
Access expired ──▶ send refresh ──▶ new access (+ rotated refresh)
```

## Cén fáth nach aon token amháin?

| | Aon access token fadsaolach | Access + refresh |
|---|---|---|
| Nochtadh | Seolta gach iarratas, maireann fada → fuinneog ghoid mhór | Access gearrshaolach; refresh seolta go hannamh |
| Cúlghairm | Deacair (ní féidir JWT stateless a dhí-eisiúint) | Cúlghair an refresh token; faigheann access bás laistigh de nóiméid |
| UX | Athlogáil isteach go minic más gearr | Fanann logáilte isteach gan dintiúir a athiontráil |
| Ga pléasctha sceite | Mór | Beag (imíonn access in éag go tapa) |

- **Aon access token gearr, gan refresh** → sábháilte, ach logáiltear an t-úsáideoir amach gach cúpla nóiméad. UX uafásach.
- **Aon access token fada** → UX iontach, ach tá token sceite bailí ar feadh tamall fada agus ní féidir é a chúlghairm go héasca.
- **Access + refresh** → fuinneog nochta ghearr *agus* seisiúin fhada. Is é an refresh token an t-aon rún fadsaolach amháin, agus maireann sé in aon áit shábháilte amháin.

## Cad a chumasaíonn an roinnt

- **Cúlghairm ainneoin access tokens stateless.** Ní féidir leat JWT access token a neamhbhailíochtú sula n-imíonn sé in éag, ach *is féidir* leat an refresh token a scriosadh/dhiúltú, mar sin críochnaíonn an seisiún ag an gcéad refresh eile (laistigh de nóiméid).
- **Rothlú refresh token** — eisigh refresh token nua le gach úsáid agus braith athúsáid seancheann (comhartha goid), ansin cúlghair an slabhra ar fad.
- **Nochtadh íosta** — seoltar an rún fadsaolach (refresh) chuig endpoint amháin go beacht, stóráilte go hidéalach i gcuki `httpOnly`, as raon XSS.

## Cén fáth a bhfuil sé tábhachtach

Is é seo an dearadh fíordheimhnithe nua-aimseartha caighdeánach, agus fiafraíonn agallóirí é chun a fheiceáil an dtuigeann tú an *cén fáth*, ní hamháin an *conas*. Is é an léargas lárnach an chomhbhabhtáil: staideacht agus nochtadh gearr (access) i gcoinne seisiún fada agus in-chúlghairmeacht (refresh). Má dhéantar mícheart é — access token fadsaolach, gan rothlú, refresh stóráilte i `localStorage` — athraíonn sé aon token sceite amháin ina chomhréiteach cuntais fhadtéarmach. Is é an roinnt a ainmniú agus a cheannaíonn gach token duit an rud a bhfuiltear ag súil go mbeadh ar eolas ag innealtóir atá ar an eolas faoi shlándáil.

	Aon access token fadsaolach	Access + refresh
Nochtadh	Seolta gach iarratas, maireann fada → fuinneog ghoid mhór	Access gearrshaolach; refresh seolta go hannamh
Cúlghairm	Deacair (ní féidir JWT stateless a dhí-eisiúint)	Cúlghair an refresh token; faigheann access bás laistigh de nóiméid
UX	Athlogáil isteach go minic más gearr	Fanann logáilte isteach gan dintiúir a athiontráil
Ga pléasctha sceite	Mór	Beag (imíonn access in éag go tapa)

An dá ról

Cén fáth nach aon token amháin?

Cad a chumasaíonn an roinnt

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara