如何实现Web Worker存短时效access token+HttpOnly Cookie存长时效refresh token的离线可靠登出？

一、客户端本地标记+网络恢复同步 #

• 在localStorage或indexedDB中存储一个登出状态标记，用户触发离线登出时，立即将标记设为已登出
• 同时直接销毁Web Worker中的access token，确保当前会话无法发起有效请求
• 网络恢复后，自动触发服务器请求，删除httponly cookie里的refresh token，并清除本地登出标记
• 核心：让用户感知到登出立即生效，服务器状态后续同步，既不破坏原安全存储逻辑，又解决离线体验问题

二、本地维护refresh token失效标记 #

• 给httponly cookie中的refresh token，在客户端localStorage中存储对应的过期时间标记
• 离线登出时，直接将该标记的过期时间修改为当前时间，后续客户端不会再用这个refresh token去请求新的access token
• 服务器端可配合校验：刷新token时，验证客户端传递的标记（可选），进一步防止旧token被滥用
• 优势：无需改动refresh token的httponly存储策略，通过本地标记阻断刷新流程

三、双refresh token分层机制 #

• 服务器发放两个refresh token：一个存于httponly cookie（长时效），另一个存于客户端安全存储（如indexedDB，时效短于cookie内的token）
• 日常刷新access token优先使用客户端存储的token；该token失效时，再用cookie内的token获取新的双token和access token
• 离线登出时，直接删除客户端存储的refresh token，销毁Web Worker中的access token，此时客户端无法发起刷新请求
• 网络恢复后，用户操作会因无有效refresh token跳转登录页，服务器可同步清理cookie内的旧token

四、Web Worker会话即时终止 #

• 为每个用户会话绑定独立的Web Worker实例，离线登出时直接终止该Worker，彻底销毁access token
• 在客户端存储会话失效标记，后续所有需要token的操作先检查该标记，已登出则直接拒绝
• 网络恢复后，自动向服务器发起会话失效同步请求，清理对应的refresh token cookie

内容的提问来源于stack exchange，提问作者maxischl