Zašto ti trebaju i access token i refresh token?

Question

IT Interview Practice · Accepted Answer

Dva tokena postoje da riješe izravan sukob: access token se mora **slati na svakom zahtjevu** (pa je jako izložen), ali istovremeno želiš sesije koje **traju dugo** bez prisiljavanja na česte prijave. Ne možeš imati oboje sigurno u jednom tokenu — pa dijeliš posao.

## Dvije uloge

- **Access token** — kratkotrajan (obično 5–15 minuta), šalje se u `Authorization` headeru na svakom API pozivu. Budući da se stalno prenosi, curenje je vjerojatno; držanje kratkim znači da ukradeni istječe gotovo odmah.
- **Refresh token** — dugotrajan (dani/tjedni), šalje se **samo** na token endpoint auth servera radi dobivanja novih access tokena. Putuje rijetko, može se pohraniti sigurnije, i može se opozvati na strani servera.

```
Login ──▶ access (15m) + refresh (30d)
Every API call ──▶ send access
Access expired ──▶ send refresh ──▶ new access (+ rotated refresh)
```

## Zašto ne samo jedan token?

| | Jedan dugotrajan access token | Access + refresh |
|---|---|---|
| Izloženost | Šalje se svaki zahtjev, živi dugo → veliki prozor za krađu | Access kratkotrajan; refresh se rijetko šalje |
| Opoziv | Teško (stateless JWT se ne može poništiti) | Opozovi refresh token; access umire unutar minuta |
| UX | Česta ponovna prijava ako je kratak | Ostaje prijavljen bez ponovnog unosa vjerodajnica |
| Radijus štete od curenja | Velik | Malen (access brzo istječe) |

- **Jedan kratak access token, bez refresha** → sigurno, ali korisnik se odjavljuje svakih nekoliko minuta. Užasan UX.
- **Jedan dug access token** → sjajan UX, ali procureni token vrijedi dugo i ne može se lako opozvati.
- **Access + refresh** → kratak prozor izloženosti *i* duge sesije. Refresh token je jedina dugotrajna tajna, i živi na jednom sigurnom mjestu.

## Što podjela omogućuje

- **Opoziv unatoč stateless access tokenima.** Ne možeš poništiti JWT access token prije nego istekne, ali *možeš* obrisati/odbiti refresh token, pa sesija završava na sljedećem refreshu (unutar minuta).
- **Rotacija refresh tokena** — izdaj novi refresh token pri svakoj upotrebi i otkrij ponovnu upotrebu starog (znak krađe), zatim opozovi cijeli lanac.
- **Najmanja izloženost** — dugotrajna tajna (refresh) šalje se na točno jedan endpoint, idealno pohranjena u `httpOnly` kolačiću, izvan dosega XSS-a.

## Zašto je to važno

Ovo je standardni moderni auth dizajn, i ispitivači ga pitaju da vide razumiješ li *zašto*, ne samo *kako*. Ključni uvid je kompromis: statelessness i kratka izloženost (access) naspram dugih sesija i mogućnosti opoziva (refresh). Pogriješiti — dugotrajan access token, bez rotacije, refresh pohranjen u `localStorage` — pretvara jedan procureni token u dugotrajnu kompromitaciju računa. Imenovati podjelu i što ti svaki token donosi upravo je ono što se očekuje da zna inženjer svjestan sigurnosti.

	Jedan dugotrajan access token	Access + refresh
Izloženost	Šalje se svaki zahtjev, živi dugo → veliki prozor za krađu	Access kratkotrajan; refresh se rijetko šalje
Opoziv	Teško (stateless JWT se ne može poništiti)	Opozovi refresh token; access umire unutar minuta
UX	Česta ponovna prijava ako je kratak	Ostaje prijavljen bez ponovnog unosa vjerodajnica
Radijus štete od curenja	Velik	Malen (access brzo istječe)

Dvije uloge

Zašto ne samo jedan token?

Što podjela omogućuje

Zašto je to važno

Povezana pitanja