无感刷新token不能由flask单独实现，因其本质是前端检测401后用refresh_token调用后端刷新接口并透明替换请求头，flask仅需提供安全、无状态的/auth/refresh接口，配合jwt校验、refresh_token绑定校验、单次使用即失效及滚动更新机制。
为什么不能直接在 Flask 中“无感刷新 Token”
Flask 本身不处理前端交互逻辑，所谓“无感刷新”，本质是前端检测到 access_token 即将过期时，用 refresh_token 向后端发起请求换取新 access_token，再透明替换后续请求的认证头。Flask 只需提供一个可靠的刷新接口，并确保它不依赖 session 或 cookie（否则就不是“无感”了）。
常见错误现象包括：
- 刷新接口返回 401，但前端明明传了有效的
refresh_token - 刷新成功后，新
access_token立即又被判为无效 - 多个并发请求触发多次刷新，导致
refresh_token被误废或冲突
关键原因通常是：后端未校验 refresh_token 的绑定关系（比如用户 ID、设备指纹），或未做单次使用即失效（one-time use）设计。
如何实现安全的 /auth/refresh 接口
这个接口必须满足：仅接受 POST、只读取 Authorization Header 中的 Bearer refresh_token、验证签名和有效期、查库确认未被撤回、生成新 access_token 并立即作废旧 refresh_token（或滚动更新为新 refresh_token）。
@app.route("/auth/refresh", methods=["POST"])
def refresh_token():
auth = request.headers.get("Authorization")
if not auth or not auth.startswith("Bearer "):
return {"error": "Missing refresh_token"}, 401
<pre class="brush:python;toolbar:false;">refresh_token = auth[7:]
try:
payload = jwt.decode(refresh_token, REFRESH_SECRET, algorithms=["HS256"])
except jwt.ExpiredSignatureError:
return {"error": "Refresh token expired"}, 401
except jwt.InvalidTokenError:
return {"error": "Invalid refresh token"}, 401
# 查数据库确认该 refresh_token 是否有效且未被使用
db_token = RefreshToken.query.filter_by(token_hash=hash_token(refresh_token)).first()
if not db_token or db_token.revoked or db_token.user_id != payload["user_id"]:
return {"error": "Invalid or revoked refresh token"}, 401
# 生成新 access_token（短时效）
new_access = jwt.encode(
{"user_id": payload["user_id"], "exp": datetime.utcnow() + timedelta(minutes=15)},
ACCESS_SECRET,
algorithm="HS256"
)
# 滚动刷新：发新 refresh_token，同时作废旧的
new_refresh = jwt.encode(
{"user_id": payload["user_id"], "exp": datetime.utcnow() + timedelta(days=7)},
REFRESH_SECRET,
algorithm="HS256"
)
db_token.revoked = True
db.session.add(RefreshToken(token_hash=hash_token(new_refresh), user_id=payload["user_id"]))
db.session.commit()
return {
"access_token": new_access,
"refresh_token": new_refresh
}, 200
注意点：
-
hash_token()必须用带 salt 的哈希（如bcrypt），绝不能明文存refresh_token -
REFRESH_SECRET和ACCESS_SECRET应不同，降低泄露影响面 - 不要复用同一个
refresh_token多次，每次刷新都应生成新 token 并使旧 token 失效
前端配合：Axios 请求拦截器怎么避免循环刷新
真正容易出问题的是前端——当多个请求几乎同时收到 401 时，若每个都触发刷新流程，会并发调用 /auth/refresh，造成竞争条件（例如两个请求都拿到同一个新 access_token，但第二个刷新又让第一个失效）。
解决方法是用 Promise 缓存正在执行的刷新请求：
let isRefreshing = false;
let failedQueue = [];
<p>axios.interceptors.response.use(
(res) => res,
(err) => {
const { config, response } = err;
if (response?.status === 401 && !config._retry) {
if (!isRefreshing) {
isRefreshing = true;
return refreshToken().then(({ data }) => {
// 更新全局 token 存储（如 localStorage）
localStorage.setItem("access_token", data.access_token);
localStorage.setItem("refresh_token", data.refresh_token);</p><pre class="brush:python;toolbar:false;"> // 重放所有失败请求
failedQueue.forEach((req) => {
req.resolve(axios(req.config));
});
failedQueue = [];
// 重试当前请求
config._retry = true;
config.headers.Authorization = `Bearer ${data.access_token}`;
return axios(config);
}).catch(() => {
// 刷新失败，清空凭证并跳登录页
localStorage.removeItem("access_token");
localStorage.removeItem("refresh_token");
window.location.href = "/login";
}).finally(() => {
isRefreshing = false;
});
} else {
// 等待正在进行的刷新完成
return new Promise((resolve) => {
failedQueue.push({ config, resolve });
});
}
}
return Promise.reject(err);} );
关键细节：
-
config._retry是自定义标记，防止无限重试 -
failedQueue缓存的是原始请求配置 + resolve 函数，不是响应结果 -
refreshToken()是封装好的 Axios 调用，它自己不走响应拦截器（避免递归）
为什么 JWT 黑名单对 refresh_token 很关键
access_token 通常不入库、不过期前无法主动废止；但 refresh_token 必须可撤销。一旦用户登出、密码修改或设备解绑，所有关联的 refresh_token 都应立即失效。
常见疏漏：
- 只在用户登出时删掉数据库里的
refresh_token记录，但没同步清理内存缓存（如果用了 Redis） - 没限制单个用户最多持有几个活跃
refresh_token，导致 token 泛滥 - 把
refresh_token存在 localStorage 里，却没配HttpOnly: false—— 其实这是对的，因为前端必须读它；但千万别把它塞进 Cookie 里还设HttpOnly，那样前端根本拿不到
最简可行方案是：每次刷新后，在 DB 插入一条新记录，并把旧记录的 revoked 字段置为 True；验证时只查 revoked=False 且未过期的记录。
复杂点往往不在代码，而在 token 生命周期边界——比如用户在 A 设备刷新了 token，B 设备还在用旧 refresh_token 发起请求，此时后端是否该允许？这取决于业务策略，但默认建议拒绝，并在响应中附带提示字段（如 "reason": "token_replaced"），让前端决定是否静默登出其他端。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
