Какие есть недостатки у JWT?

Главные сложности JWT — отзыв до истечения срока, устаревшие claims, размер токена и риск неправильной проверки. Подписанный payload обычно открыт для чтения и не должен содержать секреты.

Если права изменились или токен украден, чисто stateless-проверка не узнает об этом до exp. Приходится вводить короткий срок, refresh-механику, версионирование сессии или серверный список отзыва. Хранение в браузере требует защиты от XSS и, при cookies, CSRF. Ротация ключей, проверка audience/issuer и допустимых алгоритмов добавляют сложность. JWT полезен для определённых границ доверия, но не автоматически лучше непрозрачного session ID, особенно в обычном веб-приложении.