Għaliex teħtieġ kemm access token kif ukoll refresh token?

Question

IT Interview Practice · Accepted Answer

Iż-żewġ tokens jeżistu biex isolvu konflitt dirett: access token irid **jintbagħat ma' kull request** (għalhekk huwa espost ħafna), iżda trid ukoll sessjonijiet li **jdumu ħafna** mingħajr ma tġiegħel login frekwenti. Ma tistax ikollok it-tnejn b'mod sigur f'token wieħed — għalhekk taqsam ix-xogħol.

## Iż-żewġ rwoli

- **Access token** — għomor qasir (tipikament 5–15 minuti), mibgħut fl-header `Authorization` ma' kull sejħa API. Peress li jiġi trażmess kontinwament, tnixxija hija probabbli; li żżommu qasir ifisser li wieħed misruq jiskadi kważi mill-ewwel.
- **Refresh token** — għomor twil (jiem/ġimgħat), mibgħut **biss** lit-token endpoint tas-server tal-auth biex jinkisbu access tokens ġodda. Jivvjaġġa rari, jista' jinħażen b'mod aktar sigur, u jista' jiġi revokat min-naħa tas-server.

```
Login ──▶ access (15m) + refresh (30d)
Kull sejħa API ──▶ ibgħat access
Access skada ──▶ ibgħat refresh ──▶ access ġdid (+ refresh irrotat)
```

## Għaliex mhux token wieħed biss?

| | Access token wieħed b'għomor twil | Access + refresh |
|---|---|---|
| Espożizzjoni | Mibgħut kull request, jgħix twil → tieqa kbira ta' serq | Access għomor qasir; refresh rari mibgħut |
| Revoka | Diffiċli (JWT stateless ma jistax jiġi żvijat) | Revoka r-refresh token; access imut fi ftit minuti |
| UX | Login mill-ġdid ta' spiss jekk qasir | Jibqa' loggjat mingħajr ma terġa' ddaħħal il-kredenzjali |
| Raġġ tal-isplużjoni tat-tnixxija | Kbir | Żgħir (access jiskadi malajr) |

- **Access token qasir wieħed, l-ebda refresh** → sigur, iżda l-utent jiġi lloggjat barra kull ftit minuti. UX terribbli.
- **Access token twil wieħed** → UX tajjeb ħafna, iżda token li nixxa huwa validu għal żmien twil u ma jistax jiġi revokat faċilment.
- **Access + refresh** → tieqa ta' espożizzjoni qasira *u* sessjonijiet twal. Ir-refresh token huwa l-uniku sigriet b'għomor twil, u jgħix f'post wieħed sigur.

## X'jippermetti dan il-qsim

- **Revoka minkejja access tokens stateless.** Ma tistax tinvalida JWT access token qabel ma jiskadi, iżda *tista'* tħassar/tirrifjuta r-refresh token, għalhekk is-sessjoni tintemm mar-refresh li jmiss (fi ftit minuti).
- **Rotation tar-refresh token** — oħroġ refresh token ġdid ma' kull użu u skopri użu mill-ġdid ta' wieħed qadim (sinjal ta' serq), imbagħad revoka l-katina kollha.
- **L-inqas espożizzjoni** — is-sigriet b'għomor twil (refresh) jintbagħat lejn eżatt endpoint wieħed, idealment maħżun f'cookie `httpOnly`, barra mill-medda tal-XSS.

## Għaliex huwa importanti

Dan huwa d-disinn standard modern tal-auth, u l-intervistaturi jistaqsuh biex jaraw jekk tifhimx il-*għaliex*, mhux biss il-*kif*. L-għarfien ewlieni huwa t-trade-off: statelessness u espożizzjoni qasira (access) kontra sessjonijiet twal u revokabbiltà (refresh). Li tiżbaljah — access token b'għomor twil, l-ebda rotation, refresh maħżun f'`localStorage` — idawwar token wieħed li nixxa f'kompromess ta' account fit-tul. Li ssemmi l-qsim u x'jagħtik kull token huwa dak li inġinier konxju tas-sigurtà huwa mistenni li jkun jaf.

	Access token wieħed b'għomor twil	Access + refresh
Espożizzjoni	Mibgħut kull request, jgħix twil → tieqa kbira ta' serq	Access għomor qasir; refresh rari mibgħut
Revoka	Diffiċli (JWT stateless ma jistax jiġi żvijat)	Revoka r-refresh token; access imut fi ftit minuti
UX	Login mill-ġdid ta' spiss jekk qasir	Jibqa' loggjat mingħajr ma terġa' ddaħħal il-kredenzjali
Raġġ tal-isplużjoni tat-tnixxija	Kbir	Żgħir (access jiskadi malajr)

Iż-żewġ rwoli

Għaliex mhux token wieħed biss?

X'jippermetti dan il-qsim

Għaliex huwa importanti

Mistoqsijiet relatati