Bảo mật
refresh token
còn gọi là khóa làm mới phiên
Khóa sống lâu, chỉ dùng để xin khóa truy cập mới khi khóa cũ hết hạn.
Cách chia việc: khóa truy cập sống ngắn và đi theo mọi lời gọi, refresh token sống dài và chỉ dùng một đường duy nhất để lấy khóa mới.
Lợi ích nằm ở chỗ thiệt hại có hạn. Khóa truy cập lộ ra chỉ dùng được vài phút; bù lại refresh token trở thành thứ giá trị nhất trên máy, nên phải cất trong kho khóa của hệ điều hành chứ không nằm trong bộ nhớ thường.
Khi nghi ngờ lộ, thứ phải huỷ được là refresh token — và huỷ phải có hiệu lực phía máy chủ ngay, không chờ hết hạn tự nhiên.