Access tokens اور refresh tokens ایک ساتھ کیسے کام کرتے ہیں؟

Question

IT Interview Practice · Accepted Answer

یہ دونوں tokens ایک سادہ زندگی کے چکر کی پیروی کرتے ہیں: ایک **مختصر مدت access token** ہر API کال کو اختیار دیتا ہے، اور ایک **طویل مدت refresh token** خاموشی سے نئے access tokens بناتا ہے جب وہ ختم ہو جاتے ہیں — تاکہ صارف credentials دوبارہ ڈالے بغیر login رہے۔

## بہاؤ

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API کال: Authorization: Bearer <access>
     ▼
┌────────────┐  signature + exp تصدیق کریں (کوئی DB lookup نہیں)
│ Resource   │ ──── 200 OK ────▶ (access اب بھی درست)
│ API        │ ──── 401 ───────▶ (access ختم ہو گیا)
└────────────┘
     │  3. 401 پر: POST /token { refresh }
     ▼
┌────────────┐  تصدیق + گھمائیں
│ Auth server│ ──── نیا access (+ نیا refresh) ────▶ کال دوبارہ کریں
└────────────┘
```

1. **Login** — صارف ایک بار authenticate کرتا ہے؛ server ایک **access token** (مختصر TTL) اور ایک **refresh token** (طویل TTL) واپس کرتا ہے۔
2. **APIs تک رسائی** — client ہر request پر access token کو `Authorization: Bearer …` میں بھیجتا ہے۔ API اسے stateless طریقے سے (signature + `exp`) تصدیق کر کے جواب دیتا ہے — کسی session store کی ضرورت نہیں۔
3. **ختم ہونے پر refresh** — جب API `401` واپس کرتا ہے (یا client دیکھتا ہے کہ `exp` قریب ہے)، client **refresh token** کو auth server کے `/token` endpoint پر POST کرتا ہے اور ایک تازہ access token حاصل کرتا ہے، پھر اصل request دوبارہ کرتا ہے۔ صارف کو کچھ محسوس نہیں ہوتا۔
4. **Logout / منسوخی** — server refresh token کو حذف کرتا ہے یا denylist میں ڈالتا ہے؛ اگلا refresh ناکام ہو جاتا ہے اور session ختم ہو جاتا ہے (موجودہ access token پھر بھی چند منٹوں میں خود ہی مر جاتا ہے)۔

```js
// Client interceptor: 401 پر ایک بار refresh کریں، پھر دوبارہ کوشش کریں۔
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // دوبارہ کوشش
  }
  return res;
}
```

## Refresh token rotation

بہترین طریقہ **rotation** ہے: ہر refresh کال ایک *نیا* refresh token واپس کرتی ہے اور پرانے کو غیر مؤثر کر دیتی ہے۔ اگر کوئی پرانا (پہلے استعمال شدہ) refresh token دوبارہ پیش کیا جائے، تو یہ چوری کی علامت ہے — server پورے token خاندان کو منسوخ کر دیتا ہے اور دوبارہ login پر مجبور کرتا ہے۔ یہ چوری شدہ refresh token کے نقصان کو محدود کرتا ہے۔

## اسٹوریج

- **Refresh token** → `httpOnly`، `Secure`، `SameSite` cookie تاکہ JavaScript (اور اس طرح XSS) اسے نہ پڑھ سکے۔
- **Access token** → client پر memory میں رکھا جاتا ہے؛ مختصر زندگی ظاہر ہونے کو محدود کرتی ہے۔
- اگر بچ سکتے ہیں تو کسی کو بھی `localStorage` میں نہ رکھیں — یہ کسی بھی inject شدہ script کے ذریعے پڑھا جا سکتا ہے۔

## یہ کیوں اہم ہے

یہ بہاؤ جدید SPAs، موبائل apps اور APIs میں session مینجمنٹ کی ریڑھ کی ہڈی ہے، اس لیے انٹرویو لینے والے آپ سے توقع کرتے ہیں کہ آپ اسے ابتدا سے آخر تک ٹریس کریں: login پر دونوں جاری کریں، access token سے اختیار دیں، ختم ہونے پر شفاف طریقے سے refresh کریں، اور حفاظت کے لیے rotate + منسوخ کریں۔ تفصیلات کو درست کرنا — stateless تصدیق، refresh صرف token endpoint پر، دوبارہ استعمال کی شناخت کے ساتھ rotation، اور `httpOnly` اسٹوریج — ایک ہموار، محفوظ session اور ایسے session کے درمیان فرق ہے جہاں ایک چوری شدہ token کا مطلب ایک طویل مدت اکاؤنٹ پر قبضہ ہے۔

بہاؤ

Refresh token rotation

اسٹوریج

یہ کیوں اہم ہے

متعلقہ سوالات