Как была организована работа с Access Token

Access Token обычно хранится в памяти приложения (например, в переменной или состоянии React/Vue) и передаётся в заголовке Authorization при API-запросах. Для безопасности не рекомендуется сохранять его в localStorage или cookies из-за риска XSS-атак.

Пример с React:

const [token, setToken] = useState(null);

// После успешной аутентификации
const login = async () => {
  const response = await fetch('/auth', { method: 'POST' });
  const { accessToken } = await response.json();
  setToken(accessToken);
};

// Использование в запросе
fetch('/api/data', {
  headers: {
    Authorization: `Bearer ${token}`
  }
});

Для продления срока жизни токена используют Refresh Token, который хранится в httpOnly cookie. Access Token также можно инвалидировать на сервере при logout.