双Token机制（token 是短期的，不想让用户频繁登录）应该怎么设计？

回答思路

1. 说明长短 Token 各自职责和生命周期
2. 描述使用 refresh token 自动续期 access token 的流程
3. 讨论 refresh token 的存储、轮换和吊销策略
4. 覆盖并发刷新、重放攻击和泄露风险处理