Нужно ли хранить refresh token где-нибудь в базе данных?

Серверное хранение состояния refresh-токенов нужно для управляемого отзыва, ротации и обнаружения повторного использования.

Обычно сохраняют безопасный хеш токена или идентификатор сессии, срок и статус, а не открытый секрет. Полностью stateless-схема возможна, но затрудняет немедленный отзыв. Доступ к базе и жизненный цикл токена проектируют отдельно от хранения access-токена.