Почему в схеме с access token и refresh token используются два токена, а не один refresh token для всех запросов?

Короткоживущий access token ограничивает ущерб при утечке обычного API-запроса; refresh token нужен для контролируемого обновления доступа.

Если долгоживущий refresh отправлять во все API, он становится широко доступным bearer-секретом и теряет смысл разделения. Refresh обрабатывает отдельная точка с ротацией, отзывом и дополнительными проверками. Access проверяют ресурсные серверы. Конкретные сроки и хранение зависят от модели угроз.