客户端或服务器端必须在何处实施刷新令牌逻辑？

Question

我有一个向每个请求添加上下文标头的中间件。 但似乎并没有将标头附加到我其余的敏锐客户端上。

        app.Use(async (context, next) =>
    {
        var token = context.Request.Cookies["access_token"];
        if (!string.IsNullOrEmpty(token)) context.Request.Headers.Add("Authorization", "Bearer " + token);
        await next();
    });

我是否需要在客户端或服务器端使用此中间件。

那只有HTTP cookie

• 我是否需要将它们存储在服务器端（它是httpOnly）或客户端上 侧？

• 如果我将其存储在服务器端，则如何登录用户。客户
  一方只需要存储会话号？

我也担心如何正确刷新令牌。

我的授权服务器中有一个端点，该端点使用刷新令牌和jwt令牌作为参数，然后返回新的访问令牌和刷新令牌。

• 但是我是否需要在服务器/客户端添加以下中间件： 功能：如果有“未经授权”响应，请转到该服务器 “ / refresh”端点并返回新的刷新或访问令牌对？

• 或者此功能必须在服务器的授权标头中实现 一侧。

服务器是Web api服务器，我的客户端是asp net core mvc