2 篇文章
很多人以为配了 refresh token 就更安全，其实安全窗口完全没变——它买的是「用户不用反复登录」。这篇文章对比两种方案的真实差距，并拆解 refresh token 引入后的三个代价与六个必答问题。
JWT 的全部优势来自服务端不存状态，代价也正来自这里——签发之后没有任何入口能撤回它。这篇文章用一个「幽灵窗口」实验讲清无状态与可撤销的矛盾，并给出四种撤销方案的取舍。