Какой вопрос с подвохом могут задать про JWT validation?

Суть: валидировать нужно подпись, exp, issuer, audience и алгоритм.

Пример:

validate token claims

Практический акцент: Подвох обычно в том, что кандидат знает термин, но не понимает поведение в памяти, при concurrency или в реальном request lifecycle.

Типичная ошибка: принимать alg=none или неверный audience.

Как отвечать на собеседовании: Связывайте безопасность с конкретными уязвимостями OWASP, auth flows, хранением секретов и проверкой входных данных.