Por que são usados dois tokens no esquema de token de acesso e refresh em vez de um único token de refresh para todas as solicitações?