Пользователь его присылает при обновление
Понял о чем вы, мой косяк. Теперь такой кейс, пользователь зашёл, потом вышел, потом обратно зашёл (все происходит на одном устройстве). Итого, по вашему варианту в БД находится 2 refresh token (старый и новый). Потом пользователь зашёл через другой девайс. Теперь в БД 3 refresh token. Как удалить тот первый, старый токен? Вы как то чекаете, когда его нужно удалять?