Почему не стоит хранить логин/пароль в JWT?

1. Проблемы безопасности

• JWT не шифруется (только кодируется в Base64).
  Любой может декодировать токен и увидеть данные:

  echo "eyJ...XVCJ9" | base64 --decode

• Утечка токена = утечка пароля
  Если токен украден (например, через XSS), злоумышленник узнает пароль, который может использоваться на других сервисах.

2. Что хранить вместо пароля

• Идентификатор пользователя (sub)

  {
    "sub": "user123",
    "role": "admin"
  }

• Время жизни (exp) — чтобы токен не действовал вечно.

3. Альтернативы

• Хеш пароля (но это избыточно, JWT уже подписан).

• Одноразовые токены + refresh_token для обновления сессии.

Вывод:
JWT предназначен для передачи минимальных данных. Пароль должен проверяться только при входе, а не храниться в токене.