JWT, Paseto ou sessions: quando cada um

// Padrão: refresh uso único, rota nova a cada uso
async function refresh(oldRefreshToken: string) {
  const stored = await db.refreshTokens.findUnique({ where: { text: oldRefreshToken } });
  if (!stored || stored.usedAt) {
    // REUSO DETECTADO — refresh roubado. Invalidar família inteira
    if (stored) await db.refreshTokens.updateMany({
      where: { familyId: stored.familyId },
      data: { revokedAt: new Date() },
    });
    throw new Error('refresh reuse detected');
  }

  await db.refreshTokens.update({
    where: { text: oldRefreshToken },
    data: { usedAt: new Date() },
  });

  const newRefresh = crypto.randomBytes(32).toString('hex');
  await db.refreshTokens.create({
    data: { text: newRefresh, familyId: stored.familyId, userId: stored.userId },
  });

  return {
    accessToken: signAccessToken(stored.userId, '15m'),
    refreshToken: newRefresh,
  };
}