"это недостаточно безопасно. Потому что клиент или хакер может изменить или заменить другим действительным сгенерированным JWT-токеном"
Итак, хотя я не уверен в вашем конкретном приложениитребования, я скажу так: хранение на стороне клиента с помощью файлов cookie - это путь ... Файлы cookie не уязвимы для XSS, а CSRF легко исправить с помощью современных сред.Например, отправляйте только cookie JWT через HTTPS и устанавливайте флаг HttpOnly (и, возможно, также флаг Secure).Это довольно стандартная практика, потому что она безопаснее, чем веб-хранилище. Ознакомьтесь с этой статьёй из Stormpath .