なぜ access token と refresh token の両方が必要なのですか？

なぜトークン 1 つではだめなのか？

• 1 つの短い access token、refresh なし → 安全だが、ユーザーは数分ごとにログアウトされる。ひどい UX。
• 1 つの長い access token → 優れた UX だが、漏洩したトークンは長く有効で、簡単には失効できない。
• Access + refresh → 短い露出の窓 かつ 長いセッション。refresh token は唯一の長命な秘密であり、1 つの安全な場所に置かれる。

分割が可能にすること

• stateless な access token にもかかわらず失効可能。 JWT access token は失効前に無効化できませんが、refresh token は 削除/拒否できる ため、次の更新時 (数分以内) にセッションが終了します。
• refresh token のローテーション — 使用のたびに新しい refresh token を発行し、古いものの再利用 (窃取の兆候) を検出したら、チェーン全体を失効させます。
• 最小の露出 — 長命な秘密 (refresh) は正確に 1 つの endpoint にのみ送信され、理想的には httpOnly cookie に保存され、XSS の手の届かないところに置かれます。

なぜ重要なのか

これは標準的なモダン認証設計であり、面接官がこれを尋ねるのは、あなたが どうやって だけでなく なぜ を理解しているかを見るためです。鍵となる洞察はトレードオフです: ステートレス性と短い露出 (access) 対 長いセッションと失効可能性 (refresh)。これを誤ると — 長命な access token、ローテーションなし、localStorage に保存された refresh — 1 つの漏洩トークンが長命なアカウント侵害に変わります。この分割と各トークンが何をもたらすかを説明できることこそ、セキュリティを意識したエンジニアに期待されることです。