Flowchart · Refresh token
Rotation kèm phát hiện tái sử dụng
Luồng làm mới refresh token
Refresh token được băm SHA-256 rồi tra cơ sở dữ liệu; token đã bị huỷ mà dùng lại thì huỷ mọi token của người dùng, token hết hạn thì từ chối, còn lại thì rotate sang token mới và trả cặp token mới.
KHÔNG
CÓ
CÓ
KHÔNG
CÓ
KHÔNG
POST /refresh
refresh token thô
Băm rồi tra DB
SHA-256 → TokenHash
Tìm thấy
bản ghi?
Token đã
bị huỷ?
Hết hạn
hoặc quá trần?
Huỷ mọi token của user
LogCritical · reuse-detected
Rotate R1 → R2
R1.RevokedAt = now
giữ nguyên AbsoluteExpiresAt
Cặp token mới
access token + R2
Từ chối
401
đăng nhập lại
Ngoại lệ: trong 10 giây đầu, trả lại R2
cho tab gọi song song (mục 10.4.6)
CHÚ GIẢI
Bắt đầu / kết thúc
Bước xử lý
Rẽ nhánh
Rotation và phát hiện tái sử dụng
© tiennhm