token 翻译成中文就是令牌。因为 HTTP1.1 协议每次请求都是独立的，不能复用的连接。所以，在每次请求中都需要带上令牌。令牌有效期越长，那么请求携带次数就越多，传输过程越容易暴露令牌，导致安全性下降。总而言之，就是一个令牌使用时间和次数越多，那么在使用过程中越不安全。反之，把令牌有效期设置的越短，那么就越安全。但如果这样子，将导致用户体验很差。那么如何解决这个矛盾的？对于经典的 web 应用，令牌的有效时间是 30 分钟，在有效期内使用令牌请求，后端将刷新令牌的有效期。如果超过 30 分钟再发起请求，服务端会要求前端带上 refresh token ，即刷新令牌。刷新令牌有效期可以设置很多天，比如设置一周。刷新令牌设置这么长时间那不是很不安全？其实不是的，刷新令牌相比前面每次请求使用的令牌来说，区别在于低频次使用。虽然有效期长得多，但使用次数非常低，有的方案只用一次。如前所述，使用刷新令牌换取普通令牌，并获取一个新的刷新令牌，原刷新令牌作废。如此，便实现了用户登录后，只要不超过一周内访问服务，那便可以一直免登录（例如你手机上的微信）。最后关于令牌本身，可以是服务端随机生成的 session id ，也可以是服务端不保存映射关系的 JWT ，主要看具体应用场景。

最后归纳一下，token 和 refresh token 的区别在于有效期一个短一个长。使用上 token 用于每次请求，refresh token 用于 token 过期后去换取新的 token 和 refresh token 。这样设计的目的，就是为了解决安全性和使用体验之间的矛盾。