Jsonwebtoken: expiresIn не истекает?

Из документы говорится, что

This means that the exp field should contain the number of seconds since the epoch.

Так:

• 1 минута => 60
• 5 минут => 60 * 5

Который дает

// Expires in 5 minutes
jwt.sign({
  data: 'foobar'
}, 'secret', { expiresIn: 5 * 60 })

Функция jwt.verify в примере кода вопроса использует функцию обратного вызова для возврата асинхронного результата.

Koa основан на обещаниях и не будет получать этот результат обратного вызова или какие-либо возникающие ошибки (включая TokenExpiredError). Проверка err на данный момент полностью игнорируется.

jwt.verify можно преобразовать в обещание, или если вы не укажете аргумент обратного вызова, функция вернется синхронно. После этого try/catch будут работать как положено.

import util from 'util'
import jwt from 'jsonwebtoken'
import config from '../config'

export const verifyPromise = util.promisify(jwt.verify)

export default async function verifyToken(ctx, next){

  if (!ctx.req.hasOwnProperty('headers') || !ctx.req.headers.hasOwnProperty('authorization')) {
    return ctx.throw(401, 'Protected resource, use Authorization header to get access')
  }

  try {
    let payload = await verifyPromise(ctx.req.headers['authorization'], config.JWT_SECRET, {})
    console.info(payload)
  }
  catch (err) {
    if (err.name === 'TokenExpiredError'){
      return ctx.throw(401, 'Protected resource, token expired')
    }

    console.error(err)
    return ctx.throw(500, 'Protected resource, token error')

  }

  await next()

}

Функция jwt.sign принимает число в виде секунд или строковое описание времени из время/мс.

{ expiresIn: 1 * 60 }
{ expiresIn: '1m' }