Как проверить токен без обращения к сервису авторизации?

Подписанный JWT можно проверить локально доверенным ключом: подпись, допустимый алгоритм, issuer, audience и срок действия. Непрозрачный токен обычно требует серверного состояния.

Декодировать Base64URL недостаточно: содержимое без проверки подписи недостоверно. Публичные ключи получают из доверенного источника и кешируют с учётом ротации; нельзя доверять произвольному URL из токена. Обязательно проверяют назначение токена и временные ограничения. Локальная проверка не узнаёт о немедленном отзыве сама по себе: нужны короткий срок действия, список отзыва либо интроспекция. Не путайте аутентификацию пользователя с проверкой его права на конкретный объект.

Источник: datatracker.ietf.org.