传统上刷新令牌多以 Bearer 形式传输，任何持有该字符串的一方均可使用，常见泄露途径包括客户端日志、不安全存储、中间人攻击以及公共客户端中的恶意软件。