Access token'lar ve refresh token'lar birlikte nasıl çalışır?

Question

IT Interview Practice · Accepted Answer

İki token basit bir yaşam döngüsü izler: **kısa ömürlü bir access token** her API çağrısını yetkilendirir ve **uzun ömürlü bir refresh token** süreleri dolduğunda sessizce yeni access token'lar basar — böylece kullanıcı kimlik bilgilerini yeniden girmeden oturumda kalır.

## Akış

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API çağrısı: Authorization: Bearer <access>
     ▼
┌────────────┐  signature + exp doğrula   (DB lookup yok)
│ Resource   │ ──── 200 OK ────▶ (access hâlâ geçerli)
│ API        │ ──── 401 ───────▶ (access süresi doldu)
└────────────┘
     │  3. 401'de: POST /token { refresh }
     ▼
┌────────────┐  doğrula + döndür
│ Auth server│ ──── yeni access (+ yeni refresh) ────▶ çağrıyı yeniden dene
└────────────┘
```

1. **Login** — kullanıcı bir kez kimlik doğrular; server bir **access token** (kısa TTL) ve bir **refresh token** (uzun TTL) döndürür.
2. **API'lere eriş** — client, her request'te access token'ı `Authorization: Bearer …` içinde gönderir. API onu stateless olarak (signature + `exp`) doğrular ve yanıt verir — session store gerekmez.
3. **Süre dolduğunda refresh** — API `401` döndürdüğünde (veya client `exp`'in yaklaştığını gördüğünde), client **refresh token**'ı auth sunucusunun `/token` endpoint'ine POST eder ve taze bir access token alır, ardından orijinal request'i yeniden dener. Kullanıcı hiçbir şey fark etmez.
4. **Logout / iptal** — server refresh token'ı siler veya denylist'e alır; sonraki refresh başarısız olur ve session biter (mevcut access token yine de dakikalar içinde kendiliğinden ölür).

```js
// Client interceptor: 401'de bir kez refresh et, sonra yeniden dene.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // yeniden dene
  }
  return res;
}
```

## Refresh token rotation

En iyi uygulama **rotation**'dır: her refresh çağrısı *yeni* bir refresh token döndürür ve eskisini geçersiz kılar. Eski (zaten kullanılmış) bir refresh token yeniden sunulursa, bu hırsızlığa işaret eder — server tüm token ailesini iptal eder ve yeniden girişi zorunlu kılar. Bu, çalınan bir refresh token'ın zararını sınırlar.

## Depolama

- **Refresh token** → `httpOnly`, `Secure`, `SameSite` cookie, böylece JavaScript (ve dolayısıyla XSS) onu okuyamaz.
- **Access token** → client'ta bellekte tutulur; kısa ömür açığa çıkmayı sınırlar.
- Kaçınabiliyorsan ikisini de asla `localStorage`'a koyma — enjekte edilen herhangi bir script tarafından okunabilir.

## Neden önemli

Bu akış, modern SPA'larda, mobil uygulamalarda ve API'lerde oturum yönetiminin bel kemiğidir, bu yüzden görüşmeciler onu baştan sona izlemeni bekler: login'de ikisini de ver, access token ile yetkilendir, süre dolduğunda şeffaf şekilde refresh et ve güvenlik için rotate + iptal et. Ayrıntıları doğru yapmak — stateless doğrulama, refresh yalnızca token endpoint'inde, yeniden kullanım tespitiyle rotation ve `httpOnly` depolama — sorunsuz, güvenli bir session ile çalınan tek bir token'ın uzun ömürlü bir hesap ele geçirmesi anlamına geldiği bir session arasındaki farktır.

Akış

Refresh token rotation

Depolama

Neden önemli

İlgili sorular