文章目录
- 前言
- [一、 为什么引入双 Token？（解决的核心痛点）](#一、 为什么引入双 Token？（解决的核心痛点）)
- [二、 什么是双 Token 机制](#二、 什么是双 Token 机制)
- [三、 双 Token 机制的内部作用过程](#三、 双 Token 机制的内部作用过程)
-
- [1. 登录签发阶段（双发）](#1. 登录签发阶段（双发）)
- [2. 正常业务请求阶段](#2. 正常业务请求阶段)
- [3. 核心：无感刷新阶段](#3. 核心：无感刷新阶段)
- [4. 彻底过期阶段](#4. 彻底过期阶段)
- [四、 内部安全增强机制：Token Rotation（令牌轮换）](#四、 内部安全增强机制：Token Rotation（令牌轮换）)
- [五、 主动注销（退出登录）的可控性](#五、 主动注销（退出登录）的可控性)
- 结语
前言
在JWT单Token认证中，有效期长短始终是一对无法调和的矛盾。本文将带你深入双Token机制的设计精髓，看系统如何通过短期访问令牌与长期刷新令牌的职责分离，在安全与体验之间找到最佳平衡点。
一、 为什么引入双 Token？（解决的核心痛点）
在基于 JWT（JSON Web Token）的传统单 Token 无状态认证方案中，存在一个无法调和的"安全与体验"矛盾：
- 有效期过长（如 7 天）：一旦 Token 被黑客窃取，攻击者就能在长时间内持续访问系统，安全性极低。
- 有效期过短（如 15 分钟）：Token 频繁过期，用户每隔 15 分钟就需要重新输入账号密码登录，体验极差。
双 Token 机制的本质思想是"权限职责分离"：用短期令牌负责高频的业务访问，用长期令牌负责低频的身份续期。从而完美兼顾了系统安全与用户无感体验。
二、 什么是双 Token 机制
系统在用户登录成功后，不再只返回一个令牌，而是同时签发两个职责不同的 Token：
- Access Token（访问令牌）
- 生命周期：极短（通常 15 分钟 ~ 2 小时）。
- 核心职责：充当日常业务接口的"通行证"。前端每次发起正常的业务请求（如查询数据、提交表单）时，都必须在请求头（Authorization）中携带它。
- Refresh Token（刷新令牌）
- 生命周期：较长（通常 7 天 ~ 14 天）。
- 核心职责 ：专职负责身份续期。它平时处于静态存储状态，绝不参与任何普通业务接口的访问。只有当 Access Token 过期失效时，前端才会带着它去特定的认证接口"以旧换新"。
三、 双 Token 机制的内部作用过程
整个双 Token 机制的闭环流动可以分为以下四个核心阶段：
1. 登录签发阶段（双发）
用户登录成功 → \rightarrow → 服务端生成 Access Token 和 Refresh Token 统一返回 → \rightarrow → 前端接收后进行分类存储。
2. 正常业务请求阶段
前端发起业务 API 请求 → \rightarrow → 请求拦截器自动在 Header 中注入 Access Token → \rightarrow → 后端利用密钥（Secret）解密验签通过，放行并返回数据。
3. 核心：无感刷新阶段
当用户持续操作，导致 Access Token 过期时，系统内部将触发以下链式反应：
- 触发过期：前端带着已过期的 Access Token 请求业务接口。
- 后端拒绝 ：后端解析发现时间戳过期，拒绝执行，向前端返回标准的错误状态码（如
HTTP 401或特定业务错误码）。 - 前端拦截并挂起 ：前端的响应拦截器 捕获到该错误。它不将错误抛给用户，而是利用机制将当前失败的请求先挂起（存入请求队列）。
- 发起续期 ：响应拦截器自动读取本地的
Refresh Token，向后端"刷新接口"发起换新请求。 - 后端换发 ：后端验证
Refresh Token合法且未过期后，重新生成一个全新的Access Token返回给前端。 - 重放请求 ：前端更新本地的
Access Token，并遍历刚刚挂起的请求队列，用新的 Token 重新自动发起刚才失败的业务请求。用户侧完全无感知。
4. 彻底过期阶段
如果用户超长时间（如 7 天以上）未访问系统，导致 Refresh Token 也过期了。当下一次换新时，后端会拒绝刷新。前端拦截后将清空本地所有缓存，强制跳转回 /login 登录页。
四、 内部安全增强机制：Token Rotation（令牌轮换）
在更成熟的安全架构中（如 OAuth2 规范），Refresh Token 通常不是一成不变的。系统会引入 Token Rotation（令牌轮换） 机制：
- 每次客户端使用旧的
Refresh Token来刷新Access Token时，服务端不仅会发放新的Access Token，还会同时销毁旧的 Refresh Token，并颁发一个新的 Refresh Token。 - 安全价值：一旦黑客窃取了某次静态的 Refresh Token，只要合法用户在后台进行了一次正常的无感刷新，黑客手中的旧 Refresh Token 就会瞬间作废，显著降低了长期令牌泄露后的潜在风险。
五、 主动注销（退出登录）的可控性
传统的纯无状态 JWT 一旦签发，在过期前无法提前使其失效（覆水难收）。但引入双 Token 后，注销变得相对可控：
- 当用户点击"退出登录"时，服务端会将该用户的
Refresh Token从 Redis 中删除或标记为已撤销（revoked）。 - 此时，虽然当前的
Access Token可能还能存活几分钟，但因为它的生命周期极短，几分钟后它自然失效，并且再也无法通过 Refresh Token 完成续期。通过这种方式，系统在保持整体无状态的前提下，实现了对用户生命周期的有效管控。
结语
双Token机制通过权限职责分离与无感刷新，在保持系统无状态优势的同时，有效解决了单Token的安全隐患。配合Token轮换与可控注销，它为现代Web应用提供了一套兼顾安全性与用户体验的标准化认证范式。