Действительно, часто проблема с JWT кроется в том, что проверки оставляют на последнем этапе или вообще забывают, а тестовые данные остаются в продакшене. Очень легко проморгать такие базовые моменты, и они потом превращаются в серьезные уязвимости. Особенно это заметно на первом уровне проверки авторизации.