ThinkPHP前后端分离中Token刷新机制真正可用的关键在于Access Token与Refresh Token的职责分离、存储方式匹配及异常流程闭环。Access Token短期有效仅用于API校验，Refresh Token长期有效专用于刷新接口，二者须物理隔离、密钥独立；后端刷新需验证签名、查黑名单、轮换令牌并安全设置Cookie；前端拦截器应实现“一次失败、一次重试、一次终止”三级响应处理；CORS配置须与认证方式对齐，避免跨域问题。
ThinkPHP前后端分离中，Token刷新机制要真正可用，关键不是“有没有刷新接口”，而是Access Token 和 Refresh Token 的职责分离、存储方式匹配、异常流程闭环。很多项目卡在前端重试失败、后端黑名单失效或跨域 Cookie 丢失上，本质是没理清这三者的协同逻辑。
Access Token 与 Refresh Token 必须物理隔离
不能只用一个 JWT 做“过期就刷新”——那是伪刷新，安全风险高。必须拆成两个独立令牌：
- Access Token：短期有效（建议 15–60 分钟），仅用于 API 请求校验，payload 中不存敏感字段，签名密钥与 Refresh Token 不同
-
Refresh Token：长期有效（如 7 天），只用于调用
/api/refresh接口换新 Access Token，绝不参与任何业务接口校验 - 两者生成时应使用不同密钥（如
JWT_ACCESS_SECRET和JWT_REFRESH_SECRET），避免单点泄露导致全盘失守
后端刷新接口必须带状态控制与黑名单兜底
刷新不是简单签发新 Token，而是一次受控的凭证置换：
- 接收 Refresh Token 后，先用
JWT_REFRESH_SECRET验证其签名和未过期；再查 Redis 中是否存在该 token 的哈希值（如refresh:blacklist:{sha256($rt)}），已拉黑则直接拒绝 - 验证通过后，生成新的 Access Token（含新 exp）和新的 Refresh Token（可轮换，旧 Refresh Token 立即加入黑名单）
- 响应体返回新 Access Token；新 Refresh Token 必须设为 httpOnly + Secure + SameSite=Strict 的 Cookie（ThinkPHP 中用
$this->response->cookie()设置），禁止前端 JS 读取 - 原 Refresh Token 过期后自动失效，无需主动删除；但用户登出时需手动写入黑名单并清除 Cookie
前端拦截器要处理“一次失败、一次重试、一次终止”三级响应
别依赖全局 401 拦截自动刷新——它容易陷入无限循环或覆盖用户真实错误：
立即学习“PHP免费学习笔记（深入）”；
- 请求发出前：从内存读 Access Token，填入
Authorization: Bearer xxx；Refresh Token 不读，由浏览器自动随 Cookie 发送 - 响应收到后：
→ 若状态码为 401 且响应 body 中有{"code": 401, "message": "token_expired"}，说明 Access Token 过期，触发刷新流程
→ 若刷新接口返回 200，更新内存中的 Access Token，并用新 Token 重发原请求
→ 若刷新接口也返回 401（Refresh Token 失效），清空本地所有凭证，跳转登录页 - 特别注意：Axios 的
originalRequest._retry = true标记必须严格生效，避免同一请求被重复刷新多次
CORS 与认证头必须对齐实际传输方式
JWT 场景下，不要开启 withCredentials: true 除非你真要用 Cookie 存 Access Token：
- 推荐方案：Access Token 走 Header（
Authorization），Refresh Token 走 httpOnly Cookie —— 此时 CORS 配置中'allow_credentials' => false即可，origin可设为具体域名列表 - 若坚持双 Cookie 方案，则
allow_credentials必须为 true，且origin不能为*，同时 ThinkPHP 中需确保中间件顺序正确（Cors → JwtAuth） - 所有 API 路由必须显式声明中间件，例如：
Route::group('api', function () { Route::post('refresh', 'Api/Auth::refresh')->middleware('thans\jwt\middleware\JWTRefresh::class'); });
