普通的token方案 有效期設(shè)置過長不安全，過短需要頻繁重新登錄，體驗差。

access token 有效期短，如果被盜損失更小，所以安全性更高。
如果refresh token被盜了，想刷新access token的話，也需要提供過期的access token。盜取難度增加。

同時refresh token只有在第一次獲取和刷新access token時才會在網(wǎng)絡(luò)中傳輸
被盜的風(fēng)險遠(yuǎn)小于access token 從而在一定程度上更安全了一點
所謂的更安全就是讓盜取信息者更不容易獲得而已。

參考文章：
沒有理解refresh token的必要性或者說其為何比access token安全 - Java技術(shù) - Java - 水木社區(qū) (newsmth.net)