在基于 JWT 的认证系统中，refresh token 通常如何处理？

回答思路

1. 说明 access token 与 refresh token 的分工
2. 阐述 refresh token 的存储位置与 Redis 使用
3. 描述刷新流程及旋转或复用策略
4. 考虑刷新 token 泄露的防护