リフレッシュトークン: セキュリティプロトコル
リフレッシュトークンは使用のたびにローテーションされ、使用済みトークンの再利用はトークンファミリー全体の取り消しを引き起こし、検出後に発行されたアクセストークンは無効となります。これはRFC 6749の付与ルールおよびOAuth 2.0セキュリティBCPの再利用ガイダンスに従っています。
Server-side session records rotate identifiers on privilege change, revoke an entire session family on logout or compromise, and expose list-and-revoke evidence in the account UX without storing secrets in cookies.