Web端无脑选HttpOnly Cookie，这是防XSS偷RT的唯一解法。localStorage只要有点XSS漏洞，RT就裸奔了，别省那点配置功夫。移动端老老实实塞进Keychain/Keystore，普通存储反编译就能拿，纯属找死。 关于轮换（Rotation），强烈建议每次刷新都换新的。虽然多查次DB，但能锁死泄露窗口。一旦旧RT被窃，黑客只能用一次，服务端检测到异常就能立刻踢人，安全收益远超那点复杂度。 至于并发401，别慌。搞个全局标志位isRefreshing和队列。第一个401触发刷新，后续请求全部挂起排队。刷新成功后，拿着新Token依次重试所有等待中的请求。这才是生产环境该有的稳健写法，逻辑清晰且零竞态。 官方详细解决方案：https://cloud.tencent.com/product/idsec... 展开详请