насчет времени жизни токена - вечная боль. особенно когда пользователь залогинился на неделю а токен протухает через час и начинается карусель с рефрешами. а какой подход выбрали - короткий токен с частым рефрешем или длинный?
Мы в разных компаниях IAM делаем, поэтому, увы, ответить могу только максимально расплывчато - подход в зависимости от требований (UX, безопасность, нагрузка и всякое прочее).
4 пьесы про время жизни токена доступа