Rotar el refresh token de un cliente nativo y emitir un access token

Sólo clientes nativos: refresh token en el body JSON. Una petición con la cookie de sesión del navegador se rechaza (el navegador nunca recibe access tokens). Un refresh token ya rotado que vuelve a presentarse se rechaza (IDENTITY_REFRESH_TOKEN_REUSED) y queda en el audit.

curl -X POST "https://example.com/auth/refresh"

{  "accessToken": "string",  "expiresAt": 0,  "refreshToken": "string",  "tokenType": "Bearer"}