Раньше с такими задачами реально помучился бы, а тут «123456» сразу сработал — прям сказка какая-то. JWT сейчас, видимо, проще крутят, чем раньше, и багов по мелочи побольше попадается, вот и кажется, что защита слабая. Логику точно стоит перепроверить, часто там зарыто то, что на первый взгляд не видно.