使用JSON Web Token时关于refresh token的用途与安全性疑问

1. 为什么需要引入Refresh Token，以及泄露风险的权衡 #

你认为refresh token泄露风险更高的判断本身是符合直觉的，但二者的使用场景和校验规则从设计上就大幅抹平了这种风险：

• access token会在每次调用业务接口时都放在请求头中传输，前端存储、服务端日志、中间代理节点等环节都有可能泄露，而refresh token仅会在access token过期时，单独向换发令牌的接口发起请求时才携带，暴露频率比access token低几个量级
• 服务端可以给refresh token配置更严格的校验规则：比如绑定用户的设备特征/常用IP、单次使用立即销毁并下发新的refresh token、异常请求直接拉黑整条令牌链，即使出现泄露也可以快速止损，远比无状态的access token更容易管控风险

2. 单API服务器场景下Refresh Token的存在价值 #

即使你没有拆分独立的授权服务器，refresh token依然有不可替代的作用：

• 你不需要维护海量长有效期access token的黑名单，只需要管理少量refresh token的状态即可。短有效期的access token即使泄露，最多几小时/几分钟就会自动失效，不需要额外做拉黑处理，大幅降低服务端的存储和校验压力
• 可以实现用户无感知的权限调整、强制下线操作：比如用户权限变更、账号出现风险时，不需要等原有长有效期access token过期，只要当前access token失效后，换发新令牌时就会同步最新权限，要强制用户下线直接拉黑对应的refresh token即可，操作即时生效

3. 为什么不直接延长Access Token有效期实现免登 #

直接拉长access token有效期本质是牺牲安全性换体验，和refresh token方案的安全模型有本质区别：

• 长有效期access token一旦泄露，攻击者可以在整个有效期内冒用用户身份，服务端几乎没有快速止损的方法。如果你为了支持拉黑给所有access token做黑名单校验，又会完全丧失JWT无状态、不用查库的性能优势，额外消耗极大
• 短access token+长refresh token的组合，既保留了JWT的核心优势（平时业务接口校验access token不需要查库，只有换发令牌的极低频率请求才需要查库校验refresh token状态），又把令牌泄露的风险窗口压缩到了只有access token有效期的短短几分钟，同时还能实现用户长期免登的体验，是体验、性能、安全三方平衡的最优解

核心价值总结 #

refresh token的核心作用，就是在保留JWT无状态校验的性能优势、保证用户长期免登体验的前提下，把令牌泄露的安全风险降到最低，同时给服务端保留了灵活的身份权限管控能力，这是单纯使用access token无论怎么调整有效期都无法实现的。

内容的提问来源于stack exchange，提问作者Skyler Brandt