Какой смысл в токенах авторизации, если их видно при передачи?
Токен не видно при передаче. Или ты не знаешь про https?

Если юзверь идет на обед и не лочит комп - тут никакие системы защиты уже не спасут.

Если у тебя рефреш токен есть то хакер обменяет пару токенов и токены юзера станут заюзанными. Юзер использованный токен попытается заюзать если зайдет на сайт. Это как раз сигнал того что токены спи#дили и нужно сбросить все сессии этого пользователя.
Идея токена в том, что он идентифицирован, т.е. привязан к сессии.

Иными словами, вы пришли в банк, показали паспорт, и больше у вас не просят паспорт до ухода. Если кто-то украдёт ваш паспорт или вы придёте в другой день, то нужно будет снова предъявить документ.

p.s. 
Поэтому проблема не в том, что токен видно. Проблема в том, что сессию можно подделать.