Сейчас пытаюсь реализовать аунтификацию с помощью accessToken и refreshToken, access храню на клиенте в переменной, refreshToken в cookies с флагом httpOnly:true так же использую refreshSession таблицу в базе данных где храню fingerprint и refreshToken каждого пользователя. так же у меня уже реализована функция обновления access токена на клиенте когда он истёк. проблема заключается в том что делать если пользователь обновил страницу , не понимаю как сделать так что бы его не выбрасывало из системы так как при обновление токен в памяти удаляется а к refreshToken я не имею доступ с js кода, есть варианты?

В чем проблема, замени стандартный драйвер node-postgres на любую orm, а вместо контекста используй хранилище. Суть точно та же, просто разные инструменты.

Да, все верно. Если апи и клиент на разных доменах, то хорошим вариантом будет редирект запросов средствами nginx

Настрой Cors

Абсолютно верно. Минус такого подхода, как хранение токена в памяти приложения в замыкании или в любом стэйт-менеджере в том, что после перезагрузки страницы мы теряем информацию о токене и пользователе. Тут правила диктуют сфера использования приложения и возможные риски в случае кражи токенов. Если оно хранит "super sensitive data", тогда стоит хранить токен секьюрно, если нет, почему бы не использовать локальное хранилище. То, что токен хранится в замыкании, не гарантирует того, что он не будет перехвачен в процессе запроса посредством CSRF.

подозреваю что большая часть этих фингерпринтов будет одинаковая, особенно на устройствах apple

Да, генерировать fingerprint на клиенте. Загугли соответствующие библиотеки. Проблема express-fingerprint в том, что он генерирует хэш на основе заголовков (а именно свойства user-agent, заголовков типа accept и ip локации), которые можно подделать. Клиентские же библиотеки могут формировать отпечаток из таких параметров, как языки пользователя браузера, размеры вьюпорта и еще много чего. В качестве учебного примера допустимо и так.

Изначально type был password, но когда начал записывать, на мой взгляд, немного потерялась наглядность😊

Поищи есть вроде

В чем сложность? Генерируй код, тем же uuid-v4. Используй любой npm пакет для отправки писем с node. Зашиваешь в письмо код, в базу сохраняешь код вместе с данными пользователя. С клиента отправляешь код и сравниваешь с тем, что в бд.