Que sinais ajudam a determinar que este token pertence exatamente a si?

Para determinar se um token realmente pertence a si, geralmente verificam-se as seguintes características:

• Payload com identificadores únicos: por exemplo, o campo sub (sujeito) ou userId, que contém o seu identificador único.
• Emissor (iss): indica quem emitiu o token. Se for o seu servidor de autenticação, então o token é seu.
• Audiência (aud): indica para quem o token é destinado. Se for a sua aplicação, então o token é para si.
• Assinatura do token: a verificação da assinatura digital garante que o token não foi falsificado e foi emitido por uma fonte confiável.
• Tempo de validade (exp, iat): o token deve ser válido no momento atual.

Exemplo de verificação JWT em Java usando a biblioteca jjwt:

Claims claims = Jwts.parser()
    .setSigningKey(secretKey)
    .parseClaimsJws(token)
    .getBody();

String userId = claims.getSubject(); // seu identificador único
String issuer = claims.getIssuer();

if ("your-issuer".equals(issuer) && userId.equals(expectedUserId)) {
    // o token pertence a si
}