Miért használnak két tokent az access token és a refresh token séma esetén, ahelyett, hogy egyetlen refresh tokent használnának minden kéréshez?