access tokens र refresh tokens सँगै कसरी काम गर्छन्?

Question

IT Interview Practice · Accepted Answer

दुई tokens एउटा सरल जीवनचक्र पछ्याउँछन्: **छोटो अवधिको access token** ले प्रत्येक API call लाई authorize गर्छ, र **लामो अवधिको refresh token** ले तिनीहरू expire हुँदा मौन रूपमा नयाँ access tokens बनाउँछ — त्यसैले user credentials फेरि नहाली logged in रहन्छ।

## प्रवाह

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API call: Authorization: Bearer <access>
     ▼
┌────────────┐  signature + exp जाँच्नुहोस्   (DB lookup छैन)
│ Resource   │ ──── 200 OK ────▶ (access अझै वैध)
│ API        │ ──── 401 ───────▶ (access expired)
└────────────┘
     │  3. 401 मा: POST /token { refresh }
     ▼
┌────────────┐  जाँच्नुहोस् + rotate गर्नुहोस्
│ Auth server│ ──── नयाँ access (+ नयाँ refresh) ────▶ call पुनः प्रयास गर्नुहोस्
└────────────┘
```

1. **Login** — user एक पटक authenticate गर्छ; server एउटा **access token** (छोटो TTL) र एउटा **refresh token** (लामो TTL) फर्काउँछ।
2. **API access** — client हरेक request मा `Authorization: Bearer …` मा access token पठाउँछ। API ले यसलाई statelessly (signature + `exp`) verify गरी प्रतिक्रिया दिन्छ — session store चाहिँदैन।
3. **Expiry मा refresh** — जब API ले `401` फर्काउँछ (वा client ले `exp` नजिक आएको देख्छ), client ले **refresh token** लाई auth server को `/token` endpoint मा POST गर्छ र नयाँ access token पाउँछ, त्यसपछि मूल request पुनः प्रयास गर्छ। User ले केही थाहा पाउँदैन।
4. **Logout / revoke** — server ले refresh token delete गर्छ वा denylist मा राख्छ; अर्को refresh असफल हुन्छ र session समाप्त हुन्छ (हालको access token अझै पनि केही मिनेटमा आफैं मर्छ)।

```js
// Client interceptor: 401 मा एक पटक refresh गर्नुहोस्, त्यसपछि पुनः प्रयास गर्नुहोस्।
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // पुनः प्रयास
  }
  return res;
}
```

## Refresh token rotation

उत्तम अभ्यास भनेको **rotation** हो: प्रत्येक refresh call ले एउटा *नयाँ* refresh token फर्काउँछ र पुरानोलाई invalidate गर्छ। यदि पुरानो (पहिले नै प्रयोग भएको) refresh token फेरि प्रस्तुत गरियो भने, त्यसले चोरीको संकेत गर्छ — server ले सम्पूर्ण token family revoke गर्छ र re-login बाध्य पार्छ। यसले चोरिएको refresh token को क्षति सीमित गर्छ।

## भण्डारण

- **Refresh token** → `httpOnly`, `Secure`, `SameSite` cookie ताकि JavaScript (र त्यसैले XSS) ले यसलाई पढ्न नसकोस्।
- **Access token** → client मा memory मा राखिन्छ; छोटो जीवनले exposure सीमित गर्छ।
- सम्भव भए दुवैमध्ये कुनैलाई पनि `localStorage` मा कहिल्यै नराख्नुहोस् — यो कुनै पनि injected script ले पढ्न सक्छ।

## यो किन महत्त्वपूर्ण छ

यो प्रवाह आधुनिक SPAs, mobile apps, र APIs मा session management को मेरुदण्ड हो, त्यसैले अन्तर्वार्ताकारहरूले तपाईंले यसलाई सुरुदेखि अन्त्यसम्म पछ्याउने अपेक्षा गर्छन्: login मा दुवै issue गर्नुहोस्, access token ले authorize गर्नुहोस्, expiry मा पारदर्शी रूपमा refresh गर्नुहोस्, र सुरक्षाका लागि rotate + revoke गर्नुहोस्। विवरण सही पाउनु — stateless verification, केवल token endpoint मा refresh, reuse detection सहित rotation, र `httpOnly` storage — एउटा सहज, सुरक्षित session र एउटा चोरिएको token ले लामो अवधिको account takeover हुने session बीचको भिन्नता हो।

प्रवाह

Refresh token rotation

भण्डारण

यो किन महत्त्वपूर्ण छ

सम्बन्धित प्रश्नहरू