access_token和refresh_token双令牌无感知

• access_token

access_token 由后端颁发给前台,一般采用对称加密算法,可以反向解析出参数信息,如:用户ID,失效时间等
场景:
每次前端访问后端API接口,header中会带上此token,后端拦截器检验此token是否失效,当前请求用户ID等
JWT token: https://www.jianshu.com/p/b56fd5b24636

• refresh_token

它的作用就是避免让用户重复输入账号密码登录再次验证

二者组合使用

一般我们可以将access_token的过期时间设置为2小时的，refresh_token的过期时间设置为1个月，然后用户第一次进来，用了一段时间access_token过期了，过期后前端携带refresh_token去获取新的access_token，返回的新的access_token依旧是2小时，那么除此之外，refresh_token自身再刷新一次，刷新一次后他还是1个月的过期时间(不累加)，这就保证了用户在一个月内只要访问了应用，就可以享受无感知的体验.

• 安全性

• token泄露概率层面分析:
• 1. access_token 泄露概率比较大,毕竟每次api请求都附带它,如果单独把 access_token 过期时间设置过长,一旦泄露,就相当于密码泄露
• 2. refresh_token 泄露概率比较小,只有每次access_token 失效时才会使用它,所以二者组合可以很好的避免token泄露带来的安全风险,同时又能保证用户体验

参考链接：https://blog.csdn.net/weixin_42647798/java/article/details/100369748