Как происходит проверка подлинности JWT?

Подлинность подписанного JWT проверяют криптографически доверенным ключом и разрешённым алгоритмом; простого декодирования Base64URL недостаточно.

Затем проверяют issuer, audience, сроки и другие требования конкретного протокола. Нельзя доверять произвольному alg или адресу ключа из самого токена. Используйте поддерживаемую библиотеку и доверенную конфигурацию; корректная подпись ещё не означает наличие у пользователя прав на ресурс.

Источник: www.rfc-editor.org.