Как организовывал работу Refresh Token

Refresh Token используется для получения нового Access Token без повторной аутентификации. Основные принципы:

1. Хранить Refresh Token в httpOnly cookie (безопаснее) или localStorage
2. Отправлять Refresh Token в отдельном запросе при истечении Access Token
3. Реализовать механизм ротации токенов (новый Refresh Token с каждым обновлением)

Пример обработки:

async function refreshToken() {
  try {
    const response = await fetch('/refresh-token', {
      method: 'POST',
      credentials: 'include' // для отправки httpOnly cookie
    });
    const { accessToken } = await response.json();
    return accessToken;
  } catch (error) {
    // Логика выхода при ошибке
    logout();
  }
}

Важно: устанавливать короткий срок жизни Access Token (15-30 мин) и более длинный для Refresh Token (7-30 дней). Реализовать отзыв токенов при logout.