Как backend понимает, можно ли по токену отдавать пользователю данные?

Backend сначала проверяет подлинность и актуальность токена, затем права пользователя на конкретную операцию и объект. Валидный токен сам по себе не разрешает доступ ко всем данным.

Для подписанного токена проверяют доверенную подпись, ожидаемого издателя, аудиторию и время действия; для непрозрачного — соответствующее серверное состояние. После определения пользователя проверяют роль, scope, принадлежность ресурса и ограничения арендатора. Нельзя доверять user_id из тела запроса без сопоставления с авторизацией. Отзыв доступа и изменение ролей должны учитываться выбранной моделью сессий. Проверка проводится на сервере при каждом защищённом обращении.