双token无感刷新的关键在于前端捕获401后自动调用/refresh端点换新access token，而非仅生成两个token；需手动实现刷新接口、jti黑名单撤销机制及前端请求拦截重试逻辑。
为什么直接调用 create_access_token 和 create_refresh_token 不等于双Token无感刷新
双Token无感刷新的核心不是“生成两个token”，而是让前端在 access token 过期时，**不跳转登录页、不中断用户操作**，自动用 refresh token 换新 access token。Flask-JWT-Extended 默认不提供自动换token的路由或中间件逻辑，必须手动实现刷新端点，并配合前端策略。常见错误是只生成了 refresh token 却没暴露刷新接口，或没处理 ExpiredSignatureError 的拦截逻辑。
- access token 有效期建议设短（如15–30分钟），refresh token 设长（如7天），但必须可撤销（需配套黑名单或数据库存储）
- Flask-JWT-Extended 不内置 refresh token 存储机制，
create_refresh_token只返回 JWT 字符串，后续验证依赖你自己的@jwt.token_in_blocklist_loader实现 - 若未启用
JWT_TOKEN_LOCATION = ['headers', 'cookies']中的 cookies 模式，前端需主动携带 refresh token（比如放在请求头Authorization: Bearer <refresh_token></refresh_token>），否则无法触发刷新
如何正确实现 /refresh 端点并确保仅接受 refresh token
关键在于：该端点必须被 @jwt.refresh_jwt_required（v4.x）或 @jwt_required(refresh=True)（v4.6+）保护，并且只能从 refresh token 中提取 identity，不能混用 access token。
- v4.6+ 推荐写法：
@app.route('/refresh', methods=['POST']) @jwt_required(refresh=True) def refresh(): current_user_id = get_jwt_identity() new_token = create_access_token(identity=current_user_id) return {'access_token': new_token} - 必须禁用 access token 访问此端点：如果误用
@jwt_required()（无参数），会导致 access token 也能调用刷新，失去安全隔离 - refresh token 若通过 Cookie 传递，需配置
JWT_COOKIE_SECURE=True（生产环境强制 HTTPS）、JWT_COOKIE_SAMESITE='Lax'防 CSRF，同时前端发送时要带credentials: 'include'
前端如何做到“无感”——关键不在后端，而在请求拦截与重试逻辑
Flask-JWT-Extended 不参与前端行为，“无感”完全取决于前端是否捕获 401 并自动补发 refresh 请求。后端只需保证 /refresh 返回格式稳定、错误响应明确（如 401 表示 refresh token 也过期或无效）。
- 典型错误：前端在 access token 过期后直接报错退出，没尝试调用
/refresh；或调用后没把新 token 写回 Authorization Header / Cookie - 推荐响应结构统一：
{'access_token': 'xxx'}，避免嵌套字段（如data.token），减少前端解析负担 - 若使用 Axios，需在
responseInterceptors中判断 status === 401 && response.data?.msg?.includes('Token has expired')，再发一次 refresh 请求；成功后再重放原始请求（注意防重复提交） - 不要依赖 access token 的 exp 时间做前端预刷新——时钟不同步会导致误判，应以真实 401 响应为准
为什么 get_jti + 黑名单是 refresh token 撤销最实用的方式
无感刷新要求 refresh token 可单次使用、可主动失效（如用户登出），而 Flask-JWT-Extended 不提供开箱即用的 token 吊销存储。最轻量且可靠的做法是用 JTI（JWT ID）做唯一标识存入 Redis 或数据库。
- 生成 refresh token 时记录 JTI：
refresh_token = create_refresh_token(identity=user_id) jti = get_jti(refresh_token) # 需先 decode 或用 jwt_manager._decode_jwt_from_config redis.setex(f"blocklist:{jti}", 604800, 'revoked') # 7天有效期 - 必须注册
@jwt.token_in_blocklist_loader回调，否则create_refresh_token生成的 token 永远不会被拒绝 - 别用内存列表（
list.append()）模拟黑名单——进程重启即丢失，多实例部署下完全失效
实际最难的部分不是写 /refresh 路由，而是让每个前端请求都经过统一拦截器、正确识别 token 失效层级、并在刷新后无缝重试原请求——这些逻辑一旦漏掉一环，用户就会看到白屏或反复弹登录框。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
