Кто подписывает выданный разработчиком токен

Токен подписывается сервером аутентификации с использованием секретного ключа или пары ключей (приватный/публичный). В JWT (JSON Web Token) подпись создаётся алгоритмом (например, HS256, RS256) на основе заголовка, полезной нагрузки и секрета. Пример:

// Создание подписанного JWT
String secret = "mySecretKey";
Algorithm algorithm = Algorithm.HMAC256(secret);
String token = JWT.create()
    .withIssuer("auth0")
    .withSubject("user123")
    .sign(algorithm);

В микросервисной архитектуре часто используется центральный сервис аутентификации (Keycloak, Auth0), который генерирует и подписывает токены. Проверка подписи происходит на стороне ресурсных серверов с использованием публичного ключа или общего секрета.