اعمل مصادقة JWT بـ Access و Refresh Token في Node.js مع تدوير آمن

app.post('/login', async (req, res) => {
  const user = await findUserByEmail(req.body.email);
  if (!user || !(await bcrypt.compare(req.body.password, user.hash)))
    return res.status(401).json({ error: 'invalid credentials' });

  const jti = crypto.randomUUID();
  await saveRefreshToken({ jti, userId: user.id, valid: true }); // سجلّ العائلة
  res.cookie('rt', signRefresh(user, jti), {
    httpOnly: true, secure: true, sameSite: 'strict',
    path: '/refresh', maxAge: 7 * 24 * 60 * 60 * 1000,
  });
  res.json({ accessToken: signAccess(user) });
});

function requireAuth(req, res, next) {
  const token = (req.headers.authorization || '').replace('Bearer ', '');
  try {
    req.user = jwt.verify(token, process.env.ACCESS_SECRET);
    next();
  } catch {
    res.status(401).json({ error: 'token expired or invalid' });
  }
}

app.post('/refresh', async (req, res) => {
  const token = req.cookies.rt;
  if (!token) return res.status(401).json({ error: 'no refresh token' });

  let payload;
  try { payload = jwt.verify(token, process.env.REFRESH_SECRET); }
  catch { return res.status(401).json({ error: 'invalid refresh token' }); }

  const stored = await getRefreshToken(payload.jti);

  // توقيع سليم لكن التوكن مصروف = محاولة إعادة استخدام
  if (!stored || !stored.valid) {
    await revokeAllForUser(payload.sub); // اقتل العائلة كلها
    return res.status(401).json({ error: 'reuse detected, logged out everywhere' });
  }

  await invalidateRefreshToken(payload.jti);          // احرق القديم
  const newJti = crypto.randomUUID();
  await saveRefreshToken({ jti: newJti, userId: payload.sub, valid: true });

  const user = await findUserById(payload.sub);
  res.cookie('rt', signRefresh(user, newJti), {
    httpOnly: true, secure: true, sameSite: 'strict',
    path: '/refresh', maxAge: 7 * 24 * 60 * 60 * 1000,
  });
  res.json({ accessToken: signAccess(user) });
});

app.post('/logout', async (req, res) => {
  if (req.cookies.rt) {
    try {
      const p = jwt.verify(req.cookies.rt, process.env.REFRESH_SECRET);
      await invalidateRefreshToken(p.jti);
    } catch {}
  }
  res.clearCookie('rt', { path: '/refresh' });
  res.json({ ok: true });
});

# 1) تسجيل الدخول وحفظ الكوكي
curl -i -c cookies.txt -X POST localhost:3000/login \
  -H 'content-type: application/json' \
  -d '{"email":"a@b.com","password":"secret"}'

# 2) نداء مسار محمي بتوكن الوصول
curl localhost:3000/me -H "authorization: Bearer <ACCESS>"

# 3) تجديد (بيدوّر توكن التجديد)
curl -i -b cookies.txt -c cookies.txt -X POST localhost:3000/refresh

# 4) أعِد استخدام الكوكي القديم عمدًا -> لازم يرجّع 401 ويبطّل العائلة