Как устроена работа с просроченным токеном авторизации в мобильной разработке?

Работа с просроченным токеном авторизации в мобильной разработке устроена следующим образом: habr.com

1. Пользователь логинится в приложении, передавая логин и пароль на сервер. habr.com Они не сохраняются на устройстве, а сервер возвращает два токена и время их жизни. habr.com
2. Приложение сохраняет токены и использует access token для последующих запросов. habr.com
3. Когда время жизни access token подходит к концу (приложение может само проверять время жизни или дождаться, пока во время очередного использования сервер ответит «ой, всё»), habr.com приложение использует refresh token, чтобы обновить оба токена и продолжить использовать новый access token. habr.com

В некоторых случаях при обновлении основной токен может не измениться. yandex.ru Так происходит, если оставшийся срок его жизни достаточно длительный и выдавать новый токен нет необходимости. yandex.ru

Также для экстренного аннулирования токена к нему привязывают уникальный идентификатор (jti) и с каждым запросом проверяют в чёрном списке на сервере. sky.pro