移动应用不能把长期有效的 Token 当作普通字符串长期保存。服务端可以使用短期访问令牌和刷新令牌。

基本流程：

1. 登录成功返回短期 access token；
2. access token 过期后使用 refresh token 换取新令牌；
3. 刷新令牌轮换使用；
4. 退出登录时服务端撤销刷新令牌。

Java 服务端可以记录 refresh token 的哈希值和设备标识，不保存明文：

String tokenHash = sha256(refreshToken);
refreshTokenRepository.save(userId, deviceId, tokenHash);

客户端遇到 401 时只允许一次刷新重试，避免多个请求同时刷新造成循环。Token、日志和异常信息都不能包含完整令牌。