Merhaba,

JWT biraz zincirli cüzdanınızı kullanıcıya emanet etme gibi bişey. Cüzdanınızdaki herşey kritik, okuyor fakat yazamıyor. Bu yüzden kritik okunabilir veri koymadığınız sürece ve imzaladığınız anahtarı(secret key) kullanıcı tahmin edemediği sürece herşey yolunda gidebilir.

Son olarak JWT'de expire date'i uzun tutmamanız daha iyi olabilir çünkü bunu iptal edebilmenin bir yolu yok(secret key değişmediği sürece)

JWT.io'dan tokenınızı analiz edebilirsiniz.

Düzenli şekilde değiştiriyorsan JWT'yi bir sıkıntı olmaz. Jetonlarına bir expiration date vermek mantıklı olabilir. Düzenli değiştirmiyorsan da yapılabilecek bir şey yok. Endüstri standardı şu anda localstorage gibi yerlerde saklamak. Güvenlik adına daha farklı şeyler yapabilirsin, 2 Factor Auth gibi.