А JWT - это где-то добрый дракон, где-то злой и ест людей, а где-то вообще Жар-Птица. Топология есть, о классификации споры.
да JWT это просто способ запихнуть какие-то данные в json определённым образом (стандарт определяет, что именно там должно быть и как)
https://jwt.io/я немного не понимаю вот этой сфокусированности на JWT, я бы бы больше на httpOnly куках фокусировался: нужно или не нужно)
я не удивлюсь даже, что есть люди, которые не любят JWT и говорят о его небезопасности (что бы это ни значило), а сами не используют httpOnly для кук...