Я бы назначил токен вместе с датой его создания для идентификатора пользователя.
Таким образом, когда пользователь входит в систему, вы получаете идентификатор пользователя (например, это может быть электронная почта), и вы отвечаете клиенту с соответствующей информацией (токеном и датой), конечно, здесь вам нужночтобы выполнить некоторые дополнительные проверки, такие как проверка срока действия токена, проверьте, был ли ранее зарегистрирован идентификатор пользователя (на другом устройстве, как вы сказали), но вы поняли.
Вы должны хранить эту информацию в базе данных или в какой-либо системе оперативной памяти, такой как Redis (в зависимости от количества пользователей в приложении).