Kaip access token'ai ir refresh token'ai veikia kartu?

Question

IT Interview Practice · Accepted Answer

Du token'ai laikosi paprasto gyvavimo ciklo: **trumpalaikis access token** autorizuoja kiekvieną API iškvietimą, o **ilgalaikis refresh token** tyliai kaldina naujus access token'us, kai jie baigiasi — tad vartotojas lieka prisijungęs neįvedinėdamas kredencialų iš naujo.

## Srautas

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API iškvietimas: Authorization: Bearer <access>
     ▼
┌────────────┐  tikrinti parašą + exp   (be DB užklausos)
│ Resource   │ ──── 200 OK ────▶ (access dar galioja)
│ API        │ ──── 401 ───────▶ (access baigėsi)
└────────────┘
     │  3. gavus 401: POST /token { refresh }
     ▼
┌────────────┐  tikrinti + rotuoti
│ Auth server│ ──── naujas access (+ naujas refresh) ────▶ kartoti iškvietimą
└────────────┘
```

1. **Login** — vartotojas autentifikuojasi vieną kartą; serveris grąžina **access token** (trumpas TTL) ir **refresh token** (ilgas TTL).
2. **Prieiga prie API** — klientas siunčia access token'ą `Authorization: Bearer …` su kiekviena užklausa. API tikrina jį be būsenos (parašas + `exp`) ir atsako — sesijų saugyklos nereikia.
3. **Atnaujinimas pasibaigus** — kai API grąžina `401` (arba klientas mato, kad `exp` artėja), klientas POST'ina **refresh token'ą** į autentifikacijos serverio `/token` endpoint'ą ir gauna naują access token'ą, tuomet kartoja pradinę užklausą. Vartotojas nieko nepastebi.
4. **Atsijungimas / atšaukimas** — serveris ištrina arba įtraukia refresh token'ą į draudžiamųjų sąrašą; kitas atnaujinimas nepavyksta ir sesija baigiasi (dabartinis access token vis tiek pats miršta per kelias minutes).

```js
// Kliento interceptorius: atnaujinti kartą gavus 401, tada kartoti.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // kartoti
  }
  return res;
}
```

## Refresh token rotacija

Geriausia praktika yra **rotacija**: kiekvienas atnaujinimo iškvietimas grąžina *naują* refresh token'ą ir anuliuoja seną. Jei senas (jau panaudotas) refresh token pateikiamas dar kartą, tai signalizuoja vagystę — serveris atšaukia visą token'ų šeimą ir priverčia prisijungti iš naujo. Tai apriboja pavogto refresh token'o žalą.

## Saugojimas

- **Refresh token** → `httpOnly`, `Secure`, `SameSite` slapukas, kad JavaScript (o kartu ir XSS) negalėtų jo perskaityti.
- **Access token** → laikomas kliento atmintyje; trumpas gyvenimas riboja eksponavimą.
- Niekada nedėkite nė vieno į `localStorage`, jei galite to išvengti — jį gali perskaityti bet koks įterptas skriptas.

## Kodėl tai svarbu

Šis srautas yra sesijų valdymo pagrindas šiuolaikinėse SPA, mobiliose programose ir API, tad interviuotojai tikisi, kad atseksite jį nuo pradžios iki galo: išduoti abu prisijungiant, autorizuoti su access token'u, skaidriai atnaujinti pasibaigus, ir rotuoti + atšaukti dėl saugumo. Teisingai sutvarkyti detales — bebūsenė patikra, atnaujinimas tik token endpoint'e, rotacija su pakartotinio naudojimo aptikimu ir `httpOnly` saugojimas — yra skirtumas tarp sklandžios, saugios sesijos ir tokios, kur vienas pavogtas token reiškia ilgalaikį paskyros perėmimą.

Srautas

Refresh token rotacija

Saugojimas

Kodėl tai svarbu

Susiję klausimai