access token 和 refresh token 是如何协同工作的？

Question

IT Interview Practice · Accepted Answer

这两个 token 遵循一个简单的生命周期：**短寿命的 access token** 为每次 API 调用授权，而**长寿命的 refresh token** 在它们过期时静默地铸造新的 access token——于是用户无需重新输入凭据就能保持登录。

## 流程

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. API 调用: Authorization: Bearer <access>
     ▼
┌────────────┐  验证 signature + exp   (无需 DB lookup)
│ Resource   │ ──── 200 OK ────▶ (access 仍然有效)
│ API        │ ──── 401 ───────▶ (access 已过期)
└────────────┘
     │  3. 遇到 401 时: POST /token { refresh }
     ▼
┌────────────┐  验证 + 轮换
│ Auth server│ ──── 新 access (+ 新 refresh) ────▶ 重试该调用
└────────────┘
```

1. **Login** — 用户认证一次；server 返回一个 **access token**（短 TTL）和一个 **refresh token**（长 TTL）。
2. **访问 API** — client 在每个 request 上将 access token 放在 `Authorization: Bearer …` 中发送。API 以无状态方式（signature + `exp`）验证它并响应——无需 session store。
3. **过期时 refresh** — 当 API 返回 `401`（或 client 看到 `exp` 临近），client 将 **refresh token** POST 到 auth server 的 `/token` endpoint 并获得一个新鲜的 access token，然后重试原始 request。用户毫无察觉。
4. **Logout / 撤销** — server 删除 refresh token 或将其加入 denylist；下一次 refresh 失败，session 结束（当前的 access token 仍会在几分钟内自行失效）。

```js
// Client interceptor：在 401 时 refresh 一次，然后重试。
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // 重试
  }
  return res;
}
```

## Refresh token 轮换（rotation）

最佳实践是 **rotation**：每次 refresh 调用返回一个*新的* refresh token 并使旧的失效。如果一个旧的（已用过的）refresh token 再次被出示，这就意味着被盗——server 撤销整个 token family 并强制重新登录。这限制了被盗 refresh token 造成的损害。

## 存储

- **Refresh token** → `httpOnly`、`Secure`、`SameSite` cookie，这样 JavaScript（从而 XSS）无法读取它。
- **Access token** → 保存在 client 的内存中；短寿命限制了暴露。
- 如果能避免，就永远不要把两者中的任何一个放进 `localStorage`——它可被任何注入的脚本读取。

## 为什么这很重要

这个流程是现代 SPA、移动 app 和 API 中 session 管理的骨干，因此面试官期望你能从头到尾追溯它：login 时同时签发两者、用 access token 授权、过期时透明地 refresh、并为安全起见 rotate + 撤销。把细节做对——无状态验证、只在 token endpoint 上 refresh、带重用检测的 rotation、以及 `httpOnly` 存储——正是一个顺畅、安全的 session 与一个"单个被盗 token 就意味着长期账户被接管"的 session 之间的区别。

流程

Refresh token 轮换（rotation）

存储

为什么这很重要

相关问题