Как будет выглядеть взаимодействие клиента, микросервиса авторизации и микросервиса магазина при использовании JWT? И что изменится без JWT, с сессиями?

С JWT магазин может локально проверить подпись и claims токена; с непрозрачной сессией обычно требуется общее хранилище или проверка у auth-сервиса.

JWT нужно проверять по доверенным ключам, допустимому алгоритму, issuer, audience и сроку. Отзыв доступа может потребовать дополнительного состояния. Сессия проще централизованно отзывается, но создаёт зависимость от проверки. В обоих случаях магазин сам проверяет право на конкретную операцию, а не доверяет одному факту входа.