Зачем использовать JWT, если можно ходить с логином-паролем при каждом запросе?

Токен позволяет не передавать основной пароль каждому сервису и каждому запросу, ограничить срок и область доступа. JWT можно проверять локально по подписи, но он не обязателен: непрозрачные токены тоже подходят.

Пароль используют для первоначальной аутентификации, после которой выдаётся сессия или access token. JWT требует проверки подписи, issuer, audience и времени; его payload обычно не зашифрован. Украденный bearer token тоже опасен, поэтому нужны TLS, безопасное хранение и ограниченный срок. Локальная проверка ускоряет доступ, но усложняет немедленный отзыв.