JWT刷新令牌有哪些必填声明？能否与有效期更长的访问令牌完全相同？

首先明确核心问题的结论：不建议将刷新令牌设置为与访问令牌内容完全一致、仅修改有效期，核心原因如下：

• 两类令牌的权限边界完全不同：访问令牌的作用是直接请求业务资源接口，刷新令牌的作用仅允许用来兑换新的访问/刷新令牌对，不能直接调用业务接口。如果二者内容完全一致，一旦业务侧出现鉴权逻辑漏洞，攻击者拿到过期的访问令牌也可以作为刷新令牌使用，直接延长权限有效期，会大幅提升安全风险。
• 刷新令牌不需要携带访问令牌的冗余声明：刷新令牌仅需保留最少必要字段即可，常规包含的声明只有：
  • sub：对应用户唯一标识
  • jti：刷新令牌唯一ID，用来实现刷新令牌黑名单、防止同一个刷新令牌被多次兑换
  • exp：刷新令牌有效期
  • type：固定为refresh_token，用来和访问令牌做类型区分
    不需要携带访问令牌里的角色、权限、业务自定义字段等冗余内容，能有效缩短令牌长度、降低传输开销。

如果想要复用现有访问令牌的校验逻辑，可以通过小幅度改造校验函数实现：

• 给现有校验函数新增可选的expected_token_type参数，校验JWT payload中的type声明是否和入参匹配，校验访问令牌时传入access_token，校验刷新令牌时传入refresh_token，类型不匹配直接返回校验失败
• 校验刷新令牌时仅校验签名合法性、有效期、是否在黑名单，不需要解析校验权限类声明即可完成校验。

内容的提问来源于stack exchange，提问作者89282820