Как получить новый access token после его истечения, если refresh token не отправляется с каждым обычным запросом?

Refresh token используют отдельным запросом обновления, а не прикладывают к каждому обращению к бизнес-API.

После истечения access token клиент обращается к предусмотренному endpoint; сервер проверяет refresh token и выдаёт новый доступ. В веб-приложении refresh может передаваться подходящей HttpOnly-cookie. Объединяйте параллельные обновления и повторяйте исходный запрос ограниченно. При отказе обновления завершайте сессию, а не создавайте бесконечный цикл 401.