Что такое Refresh Token

• Access token: short-lived (5-15 min), передаётся в каждом запросе
• Refresh token: long-lived (30+ days), только на token endpoint
• Rotation: при use refresh выдаётся новый refresh, старый revoked
• Revocation list: Redis/DB со списком invalidated tokens
• Грэйсовых период: 30 сек на race conditions при concurrent refreshes

POST /oauth/token
  grant_type=refresh_token
  refresh_token=XXX
  client_id=Y
→ { access_token: "...", refresh_token: "NEW", expires_in: 900 }

• JWT
• OAuth 2.0
• PKCE

Refresh Token — это специальный токен, используемый в протоколах аутентификации для получения новых access-токенов без повторного ввода учетных данных пользователем. Он позволяет поддерживать сессию активной, даже если access-токен истек, что особенно важно для приложений с ограниченным временем действия токенов, обычно составляющим от 15 до 60 минут.

При аутентификации пользователь сначала получает access-токен и refresh-токен. Access-токен используется для доступа к защищенным ресурсам, а refresh-токен — для получения нового access-токена, когда старый устаревает. Обычно refresh-токены имеют более длительный срок действия, например, от нескольких дней до нескольких месяцев.

Процесс работы refresh-токена выглядит следующим образом:

1. Пользователь аутентифицируется и получает access-токен и refresh-токен.
2. При истечении срока действия access-токена приложение отправляет запрос на сервер с использованием refresh-токена.
3. Сервер проверяет действительность refresh-токена и, если он действителен, выдает новый access-токен.

Для реализации этого механизма можно использовать HTTP-запросы. Например, с помощью команды curl:

curl -X POST https://api.example.com/token/refresh \
-H "Content-Type: application/json" \
-d '{"refresh_token": "your_refresh_token"}'

Если refresh-токен действителен, сервер вернет новый access-токен в ответе.

Refresh Token широко используется в веб-приложениях и мобильных приложениях для поддержания сессий пользователей. Например, при разработке RESTful API можно использовать refresh-токены для аутентификации пользователей. Ниже представлен пример реализации на Node.js с использованием библиотеки jsonwebtoken:

const jwt = require('jsonwebtoken');
const refreshTokens = [];

app.post('/login', (req, res) => {
    // Аутентификация пользователя
    const user = { id: 1 }; // пример пользователя
    const accessToken = jwt.sign(user, process.env.ACCESS_TOKEN_SECRET, { expiresIn: '15m' });
    const refreshToken = jwt.sign(user, process.env.REFRESH_TOKEN_SECRET);
    refreshTokens.push(refreshToken);
    res.json({ accessToken, refreshToken });
});

app.post('/token', (req, res) => {
    const { token } = req.body;
    if (!token) return res.sendStatus(401);
    if (!refreshTokens.includes(token)) return res.sendStatus(403);
    jwt.verify(token, process.env.REFRESH_TOKEN_SECRET, (err, user) => {
        if (err) return res.sendStatus(403);
        const accessToken = jwt.sign({ id: user.id }, process.env.ACCESS_TOKEN_SECRET, { expiresIn: '15m' });
        res.json({ accessToken });
    });
});

В этом примере, после успешной аутентификации пользователь получает access-токен и refresh-токен. Когда access-токен истекает, пользователь может запросить новый access-токен, отправив refresh-токен на сервер.