所以我有一个React应用程序，我想让用户为我的应用程序授予对他们日历的访问权限。我使用PKCE流的授权代码做到了这一点：

• 用户点击按钮allow access to calendar
• 用户带参数进入https://login.microsoftonline.com/common/oauth2/v2.0/authorize（包括传入PKCE的加密验证码）
• 用户被重定向到Microsoft网站以授予Calendars.ReadWrite和offline_access的权限
• 我的后端被微软网站从Authorisation Code flow触发code
• 我的后端触发https://login.microsoftonline.com/common/oauth2/v2.0/token获取access_token和refresh_token（使用PKCE的未加密验证令牌）
• 后端将refresh_token存储在数据库中，并使用access_token将事件添加到用户的日历中
• 如果我想在几天后将事件添加到用户的日历中，我使用refresh_token来获取新的access_token，而不会再次通过Microsoft登录屏幕提示用户

我有三个问题：
1.这个流程对这样的应用程序实际上有意义吗？它做得正确吗？
1.在后端存储refresh_token的最佳和最安全的方法是什么？
1.我用常规的HTTP请求来做这些事情。使用msal React和JavaScript包来以某种方式使其更容易是否有意义？