Если refresh token утёк/скомпрометирован, как вы это обработаете? Учитывая, что JWT самодостаточный токен.