Как refresh токен обеспечивает безопасность? Что делать, если refresh токен украден?