Làm sao biết được Access Token bị sửa hay chưa ?

Đầu tiên cần phải xác định access_token nó là kiểu gì:

• nếu là JWT thì ko cần lưu, check HMAC signature = secret key của server là ok (các thông tin khác thì đã encoded có sẵn trong access token rồi)

Về JWT Tokens thì bạn có thể đọc thêm tại https://auth0.com/docs/tokens/json-web-tokens/validate-json-web-tokens
Với JWT Tokens thì sẽ có thể tồn tại nhiều access_token

• nếu là dạng khác (string) thì phải lưu DB, kèm metadata: exp time, issuer, vân vân, cái này sẽ check phía bên server, thường là post token lên để server check rồi trả về thông tin cần thiết (validate tại db trên server)

Ở dạng này thì thường sẽ có 1 hoặc nhiều hơn 1 access_token, tuỳ theo phía đằng sau server xử lý kiểu gì
Bạn có thể đọc thêm tại

• https://auth0.com/docs/tokens
• https://www.oauth.com/oauth2-servers/token-introspection-endpoint/

bạn đọc cấu trúc jwt sẽ có phần Signature. Phần này để validate

Bạn dùng public key để check nếu mã hóa rsa còn hmac thì dùng mã bí mật