JWTs lokal dekodieren, Claims prüfen und HMAC-Signaturen optional im Browser verifizieren.