авторизоввываешься руками

И пароль

Ну и в чем разница тогда

2 токена юзать

Или 1

Мб тогда сразу 3 заюзать

Почему нет

разниуа в том что ты не хранишь в приложении логин и пароль

У тебя приложение будет само обновлять треке

Токен

А не выкидывать каждый раз тебя на страницу авторизации

а токен может протухнуть, а может и сервер убить

Рефркш токен все обновит

Так и другой токен тоже может. Или не может?

Может

Но обычно у него срок месяц

Если месяц не заходил или удалил из кеша его то авторизуйся руками через пароль

Случай 1: Боб узнал оба токена Алисы и не воспользовался refresh

В этом случае Боб получит доступ к сервису на время жизни access token. Как только оно истечет и приложение, которым пользуется Алиса, воспользуется refresh token, сервер вернет новую пару токенов, а те, что узнал Боб, превратятся в тыкву.

Случай 2: Боб узнал оба токена Алисы и воспользовался refresh

В этом случае оба токена Алисы превращаются в тыкву, приложение предлагает ей авторизоваться логином и паролем, сервер возвращает новую пару токенов, а те, что узнал Боб, снова превратятся в тыкву (тут есть нюанс с device id, может вернуть ту же пару что и у Боба. В таком случае следующее использование refresh токена превратит токены Боба в то, что изображено справа).

Таким образом, схема refresh + access токен ограничивает время, на которое атакующий может получить доступ к сервису. По сравнению с одним токеном, которым злоумышленник может пользоваться неделями и никто об этом не узнает.

А так в связке рефреш и акцесс само обновляется

Ну как-то так