refresh token为何安全性更高？存在被盗风险仍使用的原因是什么

双token机制的核心逻辑从来不是彻底消除token被盗的风险，而是在不牺牲用户体验的前提下，把盗号带来的损失降到最低，本质是安全性和易用性的平衡方案，核心原因有以下几点：

• 大幅降低核心业务接口的暴露风险
  业务侧几乎所有需要鉴权的接口都是用access token校验权限，refresh token只会在/refresh_token这一个专属接口使用。短有效期的access token就算被盗，攻击者最多能非法调用15分钟的接口，到期后自动失效，后端不需要做任何额外操作就能自动止损。如果只用一个有效期1周的单token，被盗后攻击者整整一周都能调用所有业务接口，造成的损失会大得多。
• refresh token本身的泄露概率远低于access token
  access token每次发起业务请求都要携带，不管是请求日志、浏览器缓存、第三方埋点组件都有可能泄露，传输过程中被截获的概率也更高。而refresh token只会在access token到期时才发起一次请求，传输频率极低，泄露的概率本来就小很多。
• refresh token被盗后的止损成本极低
  后端可以对refresh token做多维度的绑定校验：比如绑定用户登录时的IP、设备指纹，一旦刷新请求的环境和登录时的特征不匹配，直接拒绝请求同时拉黑该refresh token。用户发现账号异常时，只要调用一次登出接口就能直接作废当前refresh token，攻击者就算拿到也无法兑换新的access token，已发放的access token最多15分钟就会过期，整个账号的风险可以快速清零。
  另外如果使用长有效期单token，要封禁被盗token需要后端维护全局黑名单，所有业务接口都要先查黑名单再放行，性能损耗极大；而双token模式下只需要在/refresh_token接口校验refresh token的有效性，业务接口不需要额外加黑名单校验，性能压力小很多。
• 平衡用户使用体验
  如果只使用短有效期的单token，用户每15分钟就要重新输入账号密码登录，体验极差。双token模式下，只要用户在refresh token有效期内有使用行为，就能无感刷新access token，不需要重复登录，使用体验和长期有效token一致，安全性还要高很多。

内容的提问来源于stack exchange，提问作者normativepcoder