Авторизация с JWT и куки — это как менять шины на ходу, особенно в Autorize. Зачастую приходится шаманить с Match/Replace, чтобы и заголовок, и куки синхрой шли, иначе Enforced начинает мозги выносить. Лучше чуть больше ручного труда, чем потом копаться в кучу false positive и гадать, где трабл. Тут без уважения к ручному труду никак.