1. **主动失效**：旧 token 被刷新时应立即加入黑名单，禁止重放。
2. **滚动刷新**：每次使用后颁发新 token，防止离线截持。
3. **单设备绑定**：token 与设备指纹/盐值绑定，禁止跨设备使用。