В чём разница между access token и refresh token?

Access token — короткоживущий токен (5-15 минут), который отправляется с каждым API-запросом для авторизации. Refresh token — долгоживущий токен (дни/недели), который используется только для получения нового access token. Access token можно хранить в памяти, refresh token — в httpOnly cookie. Такое разделение минимизирует ущерб при утечке: украденный access token быстро протухнет.