Если злоумышленник знает алгоритм хеширования, он сможет подделать JWT токен?

Само знание алгоритма не позволяет подделать корректно подписанный JWT: алгоритмы публичны, безопасность опирается на секретный или закрытый ключ. Слабый ключ и ошибки проверки меняют ситуацию.

Для HMAC проверяющие стороны знают общий секрет; для асимметричной подписи открытый ключ позволяет проверять, но не создавать подпись. Нельзя доверять произвольному alg из заголовка или принимать неподходящие ключи. Обычный hash без секрета не является достаточной защитой токена. Кроме подписи проверяют ожидаемые claims и срок действия.