Как работает аутентификация через JWT?

Пользователь отправляет логин и пароль, сервер проверяет их и возвращает JWT access token (и, опционально, refresh token). Клиент при каждом запросе отправляет access token в заголовке Authorization: Bearer <token>. Сервер проверяет подпись и срок действия токена без обращения к базе данных. Когда access token истекает, клиент обновляет его через refresh token.