Если я подпишу, а затем зашифрую JWT, как третья сторона подтвердит правильность сообщения JWE?

Поскольку предпочтительнее подписать, затем зашифровать Мне было интересно, как другая сторона может подтвердить, что сообщение действительно?

Вариант использования I имел было следующее...

1. Клиент аутентифицируется и получает токен доступа, токен доступа представляет собой подписанный JWT с сервера авторизации.
2. Клиент проверяет, что JWT подписан ключом, который распознает клиент.
3. Клиент отправляет запросы с JWT, переданным в заголовке в качестве токена Bearer.
4. когда сервер получает запрос, он быстро проверяет, подписан ли JWT ключом, который распознает ресурсный сервер.

Теперь я хочу изменить это, чтобы клиенту не нужно было видеть содержимое.

1. Клиент аутентифицируется и получает токен доступа, токен доступа JWE с сервера авторизации. Шифруется открытым ключом сервера ресурсов.
2. ЭТО ВОЗМОЖНО? Клиент проверяет, что JWE подписан ключом, который распознает клиент.
3. Клиент отправляет запросы с JWE, переданным в заголовке в качестве токена Bearer.
4. ЭТО ВОЗМОЖНО? Сервер ресурсов проверяет, что JWE подписан ключом, который распознает сервер ресурсов.
5. Сервер ресурсов расшифровывает JWE для получения утверждений JWT.

Учитывая описанный выше вариант использования, имеет больше смысла шифровать, а затем подписывать или подписывать, шифровать, а затем подписывать.