Что значит применить jwt? jwt это даже не спека. Получаешь токен с фронта, и если это jwt с payload в виде юзера, то автоматически ему веришь и можно даже не проверять ничего. Правда секурсность стремится к нулю, нужно хранение в БД, схему БД я выше накидывал, это минимальная версия, туда надо ещё добавить поле isActive bool которое будет проверять оторванность ключа. Тогда будет уже чуть секурнее. Но зачем фронту все это знать?
Правильно ли я себе представляю? При входе отправляется на сервер логин и пароль, если такой юзер есть то на сервере создаю токен в сессии бд добавлю объект юзера с его необходимым полями и с полем токен и возвращаю на клиенте чтобы токен записать в куки а данные пользователя использовать по необходимости. При перезагрузке страницы беру токен из куки отправляю на сервере, проверяю в сессии бд есть ли объект с таким токеном и при необходимости возвращаю опять объект пользователя из сессии на клиенте.