Kodėl reikia ir access token, ir refresh token?

Question

IT Interview Practice · Accepted Answer

Du token'ai egzistuoja tam, kad išspręstų tiesioginį konfliktą: access token turi būti **siunčiamas su kiekviena užklausa** (todėl labai eksponuojamas), tačiau taip pat norite, kad sesijos **truktų ilgai** neverčiant dažnai prisijunginėti. Saugiai turėti abu viename token'e neįmanoma — tad darbą pasidalijate.

## Du vaidmenys

- **Access token** — trumpalaikis (paprastai 5–15 minučių), siunčiamas `Authorization` antraštėje su kiekvienu API iškvietimu. Kadangi jis nuolat perduodamas, nutekėjimas tikėtinas; laikant jį trumpą, pavogtas beveik iškart nustoja galioti.
- **Refresh token** — ilgalaikis (dienos/savaitės), siunčiamas **tik** į autentifikacijos serverio token endpoint'ą, kad būtų gauti nauji access token'ai. Jis keliauja retai, gali būti saugomas saugiau ir gali būti atšauktas serverio pusėje.

```
Login ──▶ access (15m) + refresh (30d)
Kiekviena API užklausa ──▶ siųsti access
Access baigėsi ──▶ siųsti refresh ──▶ naujas access (+ rotuotas refresh)
```

## Kodėl ne tik vienas token?

| | Vienas ilgalaikis access token | Access + refresh |
|---|---|---|
| Eksponavimas | Siunčiamas su kiekviena užklausa, gyvena ilgai → didelis vagystės langas | Access trumpalaikis; refresh siunčiamas retai |
| Atšaukimas | Sunku (stateless JWT negalima „neišduoti") | Atšaukite refresh token; access miršta per kelias minutes |
| UX | Dažnas pakartotinis prisijungimas, jei trumpas | Lieka prisijungęs neįvedant kredencialų iš naujo |
| Nutekėjimo poveikio spindulys | Didelis | Mažas (access greitai baigiasi) |

- **Vienas trumpas access token, be refresh** → saugu, bet vartotojas atjungiamas kas kelias minutes. Baisus UX.
- **Vienas ilgas access token** → puikus UX, bet nutekėjęs token galioja ilgai ir jo negalima lengvai atšaukti.
- **Access + refresh** → trumpas eksponavimo langas *ir* ilgos sesijos. Refresh token yra vienintelis ilgalaikis slaptas raktas, ir jis laikomas vienoje saugioje vietoje.

## Ką leidžia šis padalijimas

- **Atšaukimas nepaisant stateless access token'ų.** Negalite anuliuoti JWT access token'o prieš jam pasibaigiant, bet *galite* ištrinti/atmesti refresh token, tad sesija baigiasi ties kitu atnaujinimu (per kelias minutes).
- **Refresh token rotacija** — išduokite naują refresh token kaskart panaudojus ir aptikite seno pakartotinį naudojimą (vagystės požymis), tuomet atšaukite visą grandinę.
- **Mažiausias eksponavimas** — ilgalaikis slaptas raktas (refresh) siunčiamas į lygiai vieną endpoint'ą, idealiai laikomas `httpOnly` slapuke, nepasiekiamas XSS.

## Kodėl tai svarbu

Tai standartinis šiuolaikinis autentifikacijos dizainas, ir interviuotojai to klausia norėdami pamatyti, ar suprantate *kodėl*, o ne tik *kaip*. Pagrindinė įžvalga yra kompromisas: statelesumas ir trumpas eksponavimas (access) prieš ilgas sesijas ir atšaukiamumą (refresh). Padarius klaidą — ilgalaikis access token, be rotacijos, refresh laikomas `localStorage` — vienas nutekėjęs token virsta ilgalaikiu paskyros kompromitavimu. Įvardyti padalijimą ir tai, ką kiekvienas token duoda, yra tai, ką turi žinoti saugumą išmanantis inžinierius.

	Vienas ilgalaikis access token	Access + refresh
Eksponavimas	Siunčiamas su kiekviena užklausa, gyvena ilgai → didelis vagystės langas	Access trumpalaikis; refresh siunčiamas retai
Atšaukimas	Sunku (stateless JWT negalima „neišduoti")	Atšaukite refresh token; access miršta per kelias minutes
UX	Dažnas pakartotinis prisijungimas, jei trumpas	Lieka prisijungęs neįvedant kredencialų iš naujo
Nutekėjimo poveikio spindulys	Didelis	Mažas (access greitai baigiasi)

Du vaidmenys

Kodėl ne tik vienas token?

Ką leidžia šis padalijimas

Kodėl tai svarbu

Susiję klausimai