Refresh token strategy trong NestJS — implement rotation và revocation?

import { createHash } from 'node:crypto';

async refresh(refreshToken: string) {
  const payload = this.jwtService.verify(refreshToken, { secret: REFRESH_SECRET });
  const user = await this.usersService.findOne(payload.sub);
  
  // Validate token khớp với stored (hashed) token
  // bcrypt chỉ băm 72 byte đầu — mọi JWT của cùng user giống hệt nhau ở 72 byte đó,
  // nên phải SHA-256 trước khi bcrypt (cả lúc lưu lẫn lúc so) thì mới detect được reuse
  const tokenDigest = createHash('sha256').update(refreshToken).digest('hex');
  const isValid = await bcrypt.compare(tokenDigest, user.hashedRefreshToken);
  if (!isValid) throw new ForbiddenException('Token reuse detected');
  
  // Rotate — tạo tokens mới, hash và lưu token mới
  const tokens = await this.getTokens(user.id, user.email);
  await this.updateRefreshToken(user.id, tokens.refreshToken);
  return tokens;
}