Какие два типа токенов обычно используются в JWT-аутентификации и как они взаимодействуют?

Обычно используют короткоживущий access token для API и refresh token для получения нового access token. При этом refresh token не обязан иметь формат JWT.

API проверяет access token, включая подпись и ограничения claims. Refresh token отправляется только endpoint обновления, хранится защищённо и может ротироваться с обнаружением повторного использования.

Истечение access token ограничивает окно риска, а отзыв refresh token прекращает дальнейшее обновление. Уже выданный access token может оставаться действительным до срока окончания, если нет отдельной проверки отзыва. Не передавайте refresh token каждому сервису и не храните чувствительные данные в открытом payload JWT.