Access+Refresh 플로우로그인 → 둘 다 발급Access(15분)으로 API 호출401 수신 시 Refresh로 새 Access 요청Refresh 만료 시 재로그인RotationRefresh 한 번 쓰면 새 것 발급 + 기존 무효화 — 탈취 탐지.