JWT用jjwt刷新令牌

Question

最近，我在SpringBoot和Kotlin中开始了我的项目，我想创建用户管理系统。经过几次搜索后，我看了this视频，该视频介绍了用于身份验证过程的JWT令牌的实现。

除了目前我需要在每次身份验证中传递用户名和密码的事实之外，一切似乎都可以正常运行-这意味着调用API的客户端需要每次存储或要求它。

看过this文章后，看来选项3实际上是我想要的。据我了解，身份验证的过程应如下：

• 客户端调用身份验证方法
• 返回2个令牌-1个具有较短期限的身份验证令牌，而1个具有较长期限的令牌可以续订该身份验证令牌。
• 一旦身份验证令牌过期，客户端将仅使用那些没有用户原始详细信息的令牌来更新过期的令牌。

在这方面我有两个问题：

1. 从安全角度看-如果黑客“捕获”这两个令牌会发生什么？这基本上意味着黑客可以从现在起以该用户身份进行身份验证而没有任何问题-是吗？
2. 更多或实施问题，据我所知，jjwt不支持此功能（因为只要令牌没有过期，我就可以从令牌中读取信息）。从我的搜索中，我找不到“开箱即用”的东西-是否存在可以在功能上实现此目标的标准？