问JWT 的 Refresh Token 存哪里最安全？Web 端和移动端方案有什么不同？

背景：前后端分离 + 移动端 App 双端架构，JWT 用短期 Access + Refresh Token 模式。想请教：1. Refresh Token 的存储位置——Web 端放 HttpOnly Cookie 还是 localStorage？移动端放 Keychain/Keystore 还是普通存储？各有什么攻击面？2. Refresh Token 的轮换（rotation）——每次刷新都换新 Refresh Token 还是固定一个到过期？轮换的安全收益值得复杂度吗？3. 无感刷新的实现——前端拦截 401 自动刷新会不会并发请求时重复刷新（多个请求同时 401）？有什么锁机制？希望有实际踩过 Token 安全坑的经验。