Refresh-Token
Ein langlebiges Token (Tage, Wochen oder Monate), das gegen ein neues Access Token eingetauscht wird, sobald das alte abläuft — ohne dass sich der Nutzer erneut anmelden muss.
Wird mit grant_type=refresh_token an den /token-Endpunkt geschickt. Best Practice: Rotation — jede Verwendung stellt sowohl ein neues Access Token als auch ein neues Refresh Token aus, das alte Refresh Token wird ungültig. Dazu Wiederverwendungserkennung: Taucht ein bereits verbrauchtes Refresh Token erneut auf, gilt es als gestohlen ⇒ die gesamte Token-Familie wird ungültig gemacht. Gespeichert wird typischerweise in einem httpOnly-Secure-Cookie (im Web) oder in sicherem Storage wie dem Mobile-Keychain — nicht in localStorage, wegen des XSS-Risikos.