我们的产品是一个 web app ，然后后端作为 auth0 的客户端，保存了 auth0 返回的 access Token, refresh Token ， 然后将 ID Token 加密后放到前端，作为用户的登录凭证。用户调用我们的后端 api 的时候直接验证一下 ID Token 是不是合法，然后就直接做用户操作了。
然后我们为了用户体验使用了 refresh Token 来刷新用户的 ID Token ，当 ID Token 过期的时候就调用一下后端的 api ，后端再到 auth0 去请求新的 token ，然后更新 access Token, refresh Token ，再把新的 ID Token 返回给用户。
我的疑问是，当用户的 ID Token 被获取了，在这套机制下就等于是账号全部失窃了，因为攻击者可以利用 refresh Token 不断刷新有效期。所以要如何解决这个问题？我的这个实现流程是否有问题？
希望有经验的大佬解答一下，感激不尽
