Kif jaħdmu flimkien l-access tokens u r-refresh tokens?

Question

IT Interview Practice · Accepted Answer

Iż-żewġ tokens isegwu ċiklu tal-ħajja sempliċi: **access token b'għomor qasir** jawtorizza kull sejħa API, u **refresh token b'għomor twil** joħloq bil-kwiet access tokens ġodda meta jiskadu — għalhekk l-utent jibqa' loggjat mingħajr ma jerġa' jdaħħal il-kredenzjali.

## Il-fluss

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. sejħa API: Authorization: Bearer <access>
     ▼
┌────────────┐  ivverifika l-firma + exp   (l-ebda tfittxija DB)
│ Resource   │ ──── 200 OK ────▶ (access għadu validu)
│ API        │ ──── 401 ───────▶ (access skada)
└────────────┘
     │  3. fuq 401: POST /token { refresh }
     ▼
┌────────────┐  ivverifika + irrota
│ Auth server│ ──── access ġdid (+ refresh ġdid) ────▶ erġa' pprova s-sejħa
└────────────┘
```

1. **Login** — l-utent jawtentika darba; is-server jirritorna **access token** (TTL qasir) u **refresh token** (TTL twil).
2. **Aċċess għall-API** — il-klijent jibgħat l-access token f'`Authorization: Bearer …` ma' kull request. L-API jivverifikah stateless (firma + `exp`) u jwieġeb — l-ebda ħażna ta' sessjoni meħtieġa.
3. **Refresh mal-iskadenza** — meta l-API jirritorna `401` (jew il-klijent jara li `exp` qorob), il-klijent jibgħat POST tar-**refresh token** lejn l-endpoint `/token` tas-server tal-auth u jġib access token frisk, imbagħad jerġa' jipprova r-request oriġinali. L-utent ma jinnota xejn.
4. **Logout / revoka** — is-server iħassar jew ipoġġi fuq denylist ir-refresh token; ir-refresh li jmiss ifalli u s-sessjoni tintemm (l-access token attwali xorta jmut waħdu fi ftit minuti).

```js
// Interceptor tal-klijent: refresh darba fuq 401, imbagħad erġa' pprova.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // erġa' pprova
  }
  return res;
}
```

## Rotation tar-refresh token

L-aħjar prattika hija **rotation**: kull sejħa refresh tirritorna refresh token *ġdid* u tinvalida l-qadim. Jekk refresh token qadim (li diġà ntuża) jiġi ppreżentat mill-ġdid, dan jindika serq — is-server jirrevoka l-familja sħiħa tat-tokens u jġiegħel login mill-ġdid. Dan jillimita l-ħsara ta' refresh token misruq.

## Ħażna

- **Refresh token** → cookie `httpOnly`, `Secure`, `SameSite` biex JavaScript (u għalhekk XSS) ma jkunx jista' jaqrah.
- **Access token** → miżmum fil-memorja fuq il-klijent; il-ħajja qasira tillimita l-espożizzjoni.
- Qatt tpoġġi l-ebda wieħed f'`localStorage` jekk tista' tevita — jista' jinqara minn kwalunkwe skript imdaħħal.

## Għaliex huwa importanti

Dan il-fluss huwa s-sinsla tal-ġestjoni tas-sessjonijiet fl-SPAs moderni, l-apps mobbli, u l-APIs, għalhekk l-intervistaturi jistennew li ttraċċah minn tarf sa tarf: oħroġ it-tnejn fil-login, awtorizza bl-access token, irrifreska b'mod trasparenti mal-iskadenza, u rrota + irrevoka għas-sigurtà. Li ġġib id-dettalji sew — verifika stateless, refresh biss fit-token endpoint, rotation b'skoperta ta' użu mill-ġdid, u ħażna `httpOnly` — hija d-differenza bejn sessjoni bla xkiel u sigura u waħda fejn token wieħed misruq ifisser teħid ta' account fit-tul.

Il-fluss

Rotation tar-refresh token

Ħażna

Għaliex huwa importanti

Mistoqsijiet relatati