基于令牌的身份验证 - 身份验证令牌和会话令牌？

Question

我不确定是否要在StackOverflow或https://security.stackexchange.com/上发布此问题，但我已经使用了StackOverflow，因为我已经看到此网站上还有其他基于令牌的问题，以及因为我不确定我为（Web API Core）开发的平台是否是一个因素。

我正在为Web API Core Web服务开发一个授权系统，我试图想出处理身份验证和授权的最佳方法。

我目前的想法是以下模式：

1. 登录尝试（用户名和密码）。
2. 如果成功，则返回令牌（JWT）。这将是身份验证令牌，并设置为在24小时之后过期，或者在过去30分钟内没有请求新的会话令牌。
3. 然后将用户名和身份验证令牌发布到Web服务方法，以检索新的会话令牌（也是JWT）。然后，此令牌用于访问各种Web服务方法，并在20分钟后过期。
4. 每次会话令牌过期时，都需要使用用户的用户名和身份验证令牌请求新的令牌。

我的理由是，如果在一段时间内没有请求，我不希望会话持续存在，但我不想强迫用户必须重新开始 - 在更长的时间内再次使用他们的用户名和密码进行验证。

这样安全吗？是不必要的多余？如果这是一般的Web服务身份验证的正确模式吗？