刷新令牌有什么用处？

Question

刷新令牌有什么用处？据我了解，当访问令牌过期时使用刷新令牌，发送刷新令牌以生成另一个刷新令牌和另一个访问令牌。这是因为如果访问令牌由于持续时间短而被劫持，恶意用户几乎无能为力，但如果持续时间较长的刷新令牌被劫持，则无法再保护用户。那么刷新令牌应该存储在哪里，以便没有人可以劫持它呢？或者后端应该采取什么安全措施？

Answer 1

将刷新令牌发送为httpOnly cookie，标记为safe 和sameSource。它将自动存储在 cookie 中，并与每个 http 请求一起发送到服务器。 httpOnly cookie 不能通过 JavaScript 访问，所以如果你使用 https 协议，它就不容易被劫持。