Ну да, с JWT сейчас часто проще, чем раньше, потому и с такими простыми паролями "123456" залетает сразу — баги попадаются. С загрузкой файлов тоже обычно что-то недоделанное у разработчиков, логика тут ключевая, там много нюансов, которые на первый взгляд не видны. Проверка по несколько раз точно не помешает, чтобы не упустить мелочи.