Как понимаешь, что токен безопасен

Безопасность токена зависит от его типа (JWT, OAuth, etc.) и способа хранения/передачи. Основные критерии:

1. HTTPS - токен должен передаваться только по защищенному соединению
2. Хранение - для веба лучше использовать HttpOnly, Secure cookies вместо localStorage
3. Срок действия - короткоживущие токены (access) + механизм обновления (refresh)
4. Подпись - токен должен быть криптографически подписан (например, HS256 или RS256 в JWT)

Пример проверки JWT:

Jwts.parserBuilder()
    .setSigningKey(secretKey)
    .build()
    .parseClaimsJws(token);

Важно также: ограничение прав токена (scope), проверка issuer, защита от CSRF для cookie-based токенов.