جدای از اینکه token رو میتونیت اینکریپت کنید و درستش هم همینه، می تونید بجای توکن، reference token بفرستید سمت کلاینت.
اما اگر از api gateway استفاده می کنید به چالش می خورید.
راه مشخصی درش هست. توی یه ویدیو 10 دقیقه ای توی بخش چالش های طراحی سیستم براتون آپلود می کنم تا کمی دیگه.

اینکه توکن رو هم کوچیک کنید مسئله پرفورمنسی داره و جدیش بگیرید. هرچند خیلی از سایت های به این چیزا توجه نمی کنن.

راستی مسئله token revocation هم توضیح دادم که توی این روش چطوری در 2 شرکت پیاده سازیش کردیم.