1. 概述

这一篇只解决客户端视角的 4 个问题：

• 登录成功后，access token 放哪
• refresh token 放哪
• 发业务请求时到底该带什么
• 页面刷新、token 过期、退出登录时该怎么处理

很多新手会把 token 方案想得很乱，根源通常只有一个：把“保存凭证”“发送凭证”“续期凭证”混在了一起。

这一篇把这 3 件事拆开，再用一套能直接落地的代码串起来。