Security jwttoken&；从客户端刷新令牌更新

我有一个React本机应用程序，可以通过JWT身份验证访问我的后端

当用户对后端进行身份验证时，返回一个

accessToken

和一个

refreshttoken

，这两个令牌都存储在

AsyncStorage

中，同时为这两个令牌存储

expirationTime

现在的实现是这样的，因此有一个

setTimeout

函数来检查令牌是否即将过期，并使用refreshToken更新accessToken

这让我想知道它使用刷新令牌进行了多大程度的安全升级

如果两者都存储在

AsyncStorage

（客户端上）中，则两者都可以访问，那么使用刷新令牌有什么意义

如果攻击者能够访问客户端存储，他们只需使用刷新令牌更新访问令牌即可