Сесія тримається на JWT, де записана твоя роль. Якщо сервер перевіряє підпис абияк, підправ claims і переклади токен на себе. Порівняй з версією, що суворо звіряє підпис і алгоритм