ஒரு access token மற்றும் ஒரு refresh token இரண்டும் உங்களுக்கு ஏன் தேவை?

Question

IT Interview Practice · Accepted Answer

இந்த இரண்டு tokens ஒரு நேரடி முரண்பாட்டைத் தீர்க்க உள்ளன: ஒரு access token **ஒவ்வொரு request-லும் அனுப்பப்பட வேண்டும்** (எனவே அது நிறைய வெளிப்படுகிறது), ஆனால் அடிக்கடி logins-ஐ கட்டாயப்படுத்தாமல் **நீண்ட காலம் நீடிக்கும்** sessions-ஐயும் நீங்கள் விரும்புகிறீர்கள். இரண்டையும் ஒரே token-இல் பாதுகாப்பாக வைத்திருக்க முடியாது — எனவே நீங்கள் வேலையைப் பிரிக்கிறீர்கள்.

## இரண்டு பாத்திரங்கள்

- **Access token** — குறுகிய காலம் (பொதுவாக 5–15 நிமிடங்கள்), ஒவ்வொரு API அழைப்பிலும் `Authorization` header-இல் அனுப்பப்படுகிறது. இது தொடர்ந்து அனுப்பப்படுவதால், கசிவு நிகழ வாய்ப்புள்ளது; அதைக் குறுகியதாக வைத்திருப்பது என்பது திருடப்பட்டது கிட்டத்தட்ட உடனடியாக காலாவதியாகிறது என்பதாகும்.
- **Refresh token** — நீண்ட காலம் (நாட்கள்/வாரங்கள்), புதிய access tokens-ஐப் பெற auth server-இன் token endpoint-க்கு **மட்டுமே** அனுப்பப்படுகிறது. இது அரிதாகவே பயணிக்கிறது, மேலும் பாதுகாப்பாக சேமிக்கப்படலாம், மற்றும் server-side-இல் ரத்து செய்யப்படலாம்.

```
Login ──▶ access (15m) + refresh (30d)
ஒவ்வொரு API அழைப்பு ──▶ access அனுப்பு
Access காலாவதி ──▶ refresh அனுப்பு ──▶ புதிய access (+ சுழற்றப்பட்ட refresh)
```

## ஏன் ஒரே ஒரு token மட்டும் இல்லை?

| | ஒரு நீண்ட கால access token | Access + refresh |
|---|---|---|
| வெளிப்பாடு | ஒவ்வொரு request-லும் அனுப்பப்படுகிறது, நீண்ட காலம் வாழ்கிறது → பெரிய திருட்டு சாளரம் | Access குறுகிய காலம்; refresh அரிதாக அனுப்பப்படுகிறது |
| ரத்து | கடினம் (stateless JWT-ஐ வழங்காமல் செய்ய முடியாது) | refresh token-ஐ ரத்து செய்; access நிமிடங்களில் இறக்கிறது |
| UX | குறுகியதாக இருந்தால் அடிக்கடி மீண்டும் login | சான்றுகளை மீண்டும் உள்ளிடாமல் login-இல் இருக்கிறது |
| கசிவின் சேத ஆரம் | பெரியது | சிறியது (access வேகமாக காலாவதியாகிறது) |

- **ஒரு குறுகிய access token, refresh இல்லை** → பாதுகாப்பானது, ஆனால் பயனர் ஒவ்வொரு சில நிமிடங்களுக்கும் logout செய்யப்படுகிறார். மோசமான UX.
- **ஒரு நீண்ட access token** → சிறந்த UX, ஆனால் கசிந்த token நீண்ட காலம் செல்லுபடியாகும், மேலும் எளிதில் ரத்து செய்ய முடியாது.
- **Access + refresh** → குறுகிய வெளிப்பாட்டு சாளரம் *மற்றும்* நீண்ட sessions. Refresh token என்பது ஒரே நீண்ட கால ரகசியம், அது ஒரு பாதுகாப்பான இடத்தில் வாழ்கிறது.

## பிரிப்பு எதை சாத்தியமாக்குகிறது

- **Stateless access tokens இருந்தபோதிலும் ரத்து.** காலாவதியாகும் முன் ஒரு JWT access token-ஐ செல்லாததாக்க முடியாது, ஆனால் refresh token-ஐ *நீக்க/மறுக்க முடியும்*, எனவே session அடுத்த refresh-இல் (நிமிடங்களுக்குள்) முடிகிறது.
- **Refresh token rotation** — ஒவ்வொரு பயன்பாட்டிலும் ஒரு புதிய refresh token-ஐ வழங்கி, பழையதின் மறுபயன்பாட்டைக் கண்டறியவும் (திருட்டின் அடையாளம்), பின்னர் முழு சங்கிலியையும் ரத்து செய்யவும்.
- **குறைந்தபட்ச வெளிப்பாடு** — நீண்ட கால ரகசியம் (refresh) சரியாக ஒரே endpoint-க்கு அனுப்பப்படுகிறது, சிறந்ததாக ஒரு `httpOnly` cookie-இல் சேமிக்கப்படுகிறது, XSS-இன் எட்டுதலுக்கு வெளியே.

## இது ஏன் முக்கியம்

இது நவீன நிலையான auth வடிவமைப்பு, மேலும் நீங்கள் *எப்படி* என்பதை மட்டுமல்ல, *ஏன்* என்பதைப் புரிந்துகொள்கிறீர்களா என்பதைப் பார்க்க interviewers இதைக் கேட்கிறார்கள். முக்கிய நுண்ணறிவு trade-off ஆகும்: statelessness மற்றும் குறுகிய வெளிப்பாடு (access) எதிராக நீண்ட sessions மற்றும் ரத்து செய்யும் தன்மை (refresh). தவறாகச் செய்தல் — ஒரு நீண்ட கால access token, rotation இல்லை, `localStorage`-இல் சேமிக்கப்பட்ட refresh — ஒரு கசிந்த token-ஐ நீண்ட கால கணக்கு சமரசமாக மாற்றுகிறது. பிரிப்பையும் ஒவ்வொரு token உங்களுக்கு என்ன தருகிறது என்பதையும் பெயரிடுவது தான் பாதுகாப்பு-விழிப்புணர்வுள்ள engineer தெரிந்திருக்க எதிர்பார்க்கப்படுவது.

	ஒரு நீண்ட கால access token	Access + refresh
வெளிப்பாடு	ஒவ்வொரு request-லும் அனுப்பப்படுகிறது, நீண்ட காலம் வாழ்கிறது → பெரிய திருட்டு சாளரம்	Access குறுகிய காலம்; refresh அரிதாக அனுப்பப்படுகிறது
ரத்து	கடினம் (stateless JWT-ஐ வழங்காமல் செய்ய முடியாது)	refresh token-ஐ ரத்து செய்; access நிமிடங்களில் இறக்கிறது
UX	குறுகியதாக இருந்தால் அடிக்கடி மீண்டும் login	சான்றுகளை மீண்டும் உள்ளிடாமல் login-இல் இருக்கிறது
கசிவின் சேத ஆரம்	பெரியது	சிறியது (access வேகமாக காலாவதியாகிறது)

இரண்டு பாத்திரங்கள்

ஏன் ஒரே ஒரு token மட்டும் இல்லை?

பிரிப்பு எதை சாத்தியமாக்குகிறது

இது ஏன் முக்கியம்

தொடர்புடைய கேள்விகள்