JWT: структура, подпись, хранение, refresh токены, отзыв?

eyJhbGciOiJSUzI1NiIsImtpZCI6IjIwMjUtMDkifQ.eyJzdWIiOiI0MiIsIm5hbWUiOiJBbm4iLCJyb2xlIjoibWFuYWdlciIsImlzcyI6Imh0dHBzOi8vYXV0aC5leGFtcGxlLnV6IiwiYXVkIjoib3JkZXJzLWFwaSIsImV4cCI6MTc1OTIyNjUwMH0.Kx3v...подпись...
└──────────────── header ──────────────────┘ └──────────────────────────────── payload ────────────────────────────────────────────┘ └ signature ┘

{ "alg": "RS256", "typ": "JWT", "kid": "2025-09" }

{
  "iss": "https://auth.example.uz",          // кто выпустил
  "aud": "orders-api",                        // для кого предназначен
  "sub": "42",                                // субъект (id пользователя)
  "exp": 1759226500,                          // истекает (Unix time)
  "iat": 1759225600,                          // выпущен
  "nbf": 1759225600,                          // не раньше
  "jti": "7f3a9c2e-...",                      // уникальный id токена
  "scope": "orders.read orders.write",
  "role": "manager"
}

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(o =>
    {
        o.Authority = "https://auth.example.uz";          // → /.well-known/openid-configuration → JWKS (кэшируется)
        o.Audience = "orders-api";
        o.MapInboundClaims = false;                        // сохранить имена claims (sub, role) как есть
        o.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidAlgorithms = [SecurityAlgorithms.RsaSha256],   // запрет подмены алгоритма
            ClockSkew = TimeSpan.FromSeconds(30),               // по умолчанию 5 минут — много
            NameClaimType = "sub",
            RoleClaimType = "role"
        };
    });

o.Events = new JwtBearerEvents
{
    OnTokenValidated = async ctx =>
    {
        var jti = ctx.Principal!.FindFirstValue(JwtRegisteredClaimNames.Jti);
        var denylist = ctx.HttpContext.RequestServices.GetRequiredService<ITokenDenylist>();
        if (jti is not null && await denylist.IsRevokedAsync(jti, ctx.HttpContext.RequestAborted))
            ctx.Fail("Токен отозван");
    }
};