1. 概述

前面的文章已经把 token、session、refresh token rotation 这些基础打完了。这一篇直接往下思考，接口应该怎么设计。

• admin 和 web 要不要共用一个登录入口
• refresh 请求到底收什么
• logout 到底该清什么
• OAuth 登录和 OAuth 绑定能不能走一条路
• 会话管理该盯着 token，还是盯着 session
• 代码里哪些逻辑该放 route，哪些该放 service