Вопрос про jwt инвалидацию. На данный момент у меня в

Question

Вопрос про jwt инвалидацию. На данный момент у меня в

редис ключом является uuid токенов(аксес и рефреш). Если делают запрос на логаут или рефреш, то удаляются оба uuid из редиса. Но вот теоретически допустим
1. кто-то украл рефреш токен. заюзал его и у него теперь новая пара токенов.
2. Потом юзер у которого украли рефреш токен пробует зайти на сайт -> токен не валиден -> делает рефреш -> рефреш тоже не валиден -> делается логаут, но этих токен uuid в редис уже нет.
то есть по сути токены хакера живут своей жизнью и он их может бесконечно обновлять, а токены юзера своей.

Второй вариант это использовать айди юзера как ключ в редис и значением будет все токены этого юзера. И тот же флоу
1. Хакер украл и обновил пару токенов
2. Юзер снова делает логаут(так как рефреш токен не валиден) и тут по ключу(айди юзера) в редисе стираются токены хакера.
Все как бы круто.

Но что делать, когда один и тот же юзер будет заходить и с компьютера и с телефона, тут уже две пары токенов на одного юзера?
Поправьте, если я где-то не правильно мыслю