Refresh token strategy trong NestJS — implement rotation và revocation?

async refresh(refreshToken: string) {
  const payload = this.jwtService.verify(refreshToken, { secret: REFRESH_SECRET });
  const user = await this.usersService.findOne(payload.sub);
  
  // Validate token khớp với stored (hashed) token
  const isValid = await bcrypt.compare(refreshToken, user.hashedRefreshToken);
  if (!isValid) throw new ForbiddenException('Token reuse detected');
  
  // Rotate — tạo tokens mới, hash và lưu token mới
  const tokens = await this.getTokens(user.id, user.email);
  await this.updateRefreshToken(user.id, tokens.refreshToken);
  return tokens;
}