831 B
831 B
006. Политика access и refresh сессий
Status: Accepted, baseline decision
Context
Клиенту нужна короткая авторизация без передачи долгоживущего секрета JavaScript-коду.
Decision
Access token живёт 15 минут только в памяти frontend. Rotating refresh token живёт 7 дней и передаётся в cookie httpOnly, SameSite=Lax; сервер заменяет refresh token при обновлении сессии.
Consequences
Перезагрузка страницы требует обновления access token через cookie-сессию. Полная реализация сессий, хранилища и отзыва будет добавлена change авторизации.