Kako access tokeni i refresh tokeni rade zajedno?

Question

IT Interview Practice · Accepted Answer

Dva tokena slijede jednostavan životni ciklus: **kratkotrajan access token** autorizira svaki API poziv, a **dugotrajan refresh token** tiho kuje nove access tokene kad isteknu — pa korisnik ostaje prijavljen bez ponovnog unosa vjerodajnica.

## Tok

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API call: Authorization: Bearer <access>
     ▼
┌────────────┐  verify signature + exp   (no DB lookup)
│ Resource   │ ──── 200 OK ────▶ (access still valid)
│ API        │ ──── 401 ───────▶ (access expired)
└────────────┘
     │  3. on 401: POST /token { refresh }
     ▼
┌────────────┐  verify + rotate
│ Auth server│ ──── new access (+ new refresh) ────▶ retry the call
└────────────┘
```

1. **Login** — korisnik se autenticira jednom; server vraća **access token** (kratak TTL) i **refresh token** (dug TTL).
2. **Pristup API-jima** — klijent šalje access token u `Authorization: Bearer …` na svakom zahtjevu. API ga verificira stateless (potpis + `exp`) i odgovara — nije potrebna pohrana sesije.
3. **Refresh pri isteku** — kad API vrati `401` (ili klijent vidi da je `exp` blizu), klijent POST-a **refresh token** na `/token` endpoint auth servera i dobiva svjež access token, zatim ponavlja izvorni zahtjev. Korisnik ništa ne primjećuje.
4. **Odjava / opoziv** — server briše ili stavlja na denylist refresh token; sljedeći refresh ne uspije i sesija završava (trenutni access token svejedno sam umire unutar minuta).

```js
// Klijentski interceptor: refresh jednom na 401, zatim ponovi.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // ponovi
  }
  return res;
}
```

## Rotacija refresh tokena

Najbolja praksa je **rotacija**: svaki refresh poziv vraća *novi* refresh token i poništava stari. Ako se stari (već korišteni) refresh token ponovno predoči, to signalizira krađu — server opoziva cijelu obitelj tokena i prisiljava ponovnu prijavu. To ograničava štetu od ukradenog refresh tokena.

## Pohrana

- **Refresh token** → `httpOnly`, `Secure`, `SameSite` kolačić kako ga JavaScript (a time i XSS) ne može pročitati.
- **Access token** → drži se u memoriji na klijentu; kratak život ograničava izloženost.
- Nikad ne stavljaj nijedan u `localStorage` ako to možeš izbjeći — čita ga bilo koja ubačena skripta.

## Zašto je to važno

Ovaj tok je okosnica upravljanja sesijama u modernim SPA-ovima, mobilnim aplikacijama i API-jima, pa ispitivači očekuju da ga pratiš od početka do kraja: izdaj oba pri prijavi, autoriziraj s access tokenom, transparentno osvježavaj pri isteku, i rotiraj + opozivaj radi sigurnosti. Ispravno odraditi detalje — stateless verifikacija, refresh samo na token endpointu, rotacija s detekcijom ponovne upotrebe, i `httpOnly` pohrana — razlika je između glatke, sigurne sesije i one gdje jedan ukradeni token znači dugotrajno preuzimanje računa.

Tok

Rotacija refresh tokena

Pohrana

Zašto je to važno

Povezana pitanja