ヘッダーまたは本文にjwtリフレッシュトークンを渡す

Question

アクセストークンが期限切れになると、リフレッシュトークンが再発行されます。
この時点で、どの方法が優れているのか少し躊躇しています。
アクセストークンについては、要求ごとにHTTPヘッダーを渡しました。

1. HTTPヘッダーのパスリフレッシュトークン。
2. HTTP POSTボディ（ペイロード）のリフレッシュトークンを渡します。

どちらがお勧めですか？

Answer 1

jwt仕様では、ベアラタイプの認証ヘッダーにアクセストークンを送信することを推奨しています（ただし必須ではありません）。しかし、リフレッシュトークンについての言及はありません。

リフレッシュトークンは、Oauth2の概念です。あなたがRfc6749 specificationを読めば、アクセストークンをリフレッシュするために、リフレッシュトークンが... POSTリクエストアクセストークン を更新

6にフォームパラメータを使用して送信され

POST /token HTTP/1.1 
Host: server.example.com 
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW 
Content-Type: application/x-www-form-urlencoded 

grant_type=refresh_token&refresh_token=tGzv3JOkF0XG5Qx2TlKWIA 

oauth2を使用していない場合は、義務がないため、このメソッドを使用してプロジェクトに最適なものを送信することはできますが、参照として（本体に渡す）oauth2の例を使用できます。