如何管理 JWT 访问和刷新令牌客户端

Question

我正在开发一个使用 Zuul 作为 API 网关的基于微服务的应用程序，但我对安全系统有一些担忧。
目前，我使用 spring security 开发了一层安全性，它位于 zuul 网关的前面。 这意味着后面的每个微服务都没有认证/授权逻辑，因为它是在 zuul 级别执行的。
用户基本上将其凭据提供给身份验证服务，该服务生成并将访问和刷新令牌返回给客户端。 对于微服务公开的受保护 API 的每个后续请求，客户端都会发送访问令牌，如果经过验证，则允许访问。
每当访问令牌过期时，客户端都会使用刷新令牌来获取新的访问令牌。 我的问题是在哪里存储这些令牌客户端。 我考虑将访问令牌存储在内存中，因为它的持续时间非常有限（10 分钟），并且刷新令牌保存在一个 httponly cookie 中，以防止 CSRF。
另一个问题是可以从移动应用程序和网站访问相同的资源。 据我所知，手机不需要针对 CSRF 进行保护。 您将如何处理这种情况？ 这些令牌应该如何在客户端进行管理？