Что представляет собой JWT: это случайная строка или в нём есть смысловая нагрузка?

JWT содержит структурированные claims, а не просто случайный набор символов. В распространённом подписанном формате это header, payload и signature; кодирование payload не делает его секретным.

Header описывает параметры защиты, payload — утверждения вроде субъекта, срока действия и аудитории. Подпись позволяет проверить целостность и источник при правильном ключе и проверках, но не шифрует содержимое. Получатель должен проверять допустимый алгоритм, issuer, audience и срок, а не просто декодировать токен. JWT также может использовать шифрованный формат JWE, поэтому не любой JWT состоит ровно из трёх частей. Не помещайте секреты в открытый payload и не доверяйте claims до верификации.

Источник: www.rfc-editor.org.