Можно ли зашифровать сторонний токен доступа и токен обновления в зашифрованном JWT?

У меня есть полнофункциональное приложение с интерфейсом React и серверной частью FastAPI (python), которое в конечном итоге вращается вокруг аутентификации пользователя с помощью Spotify и создания данных списка воспроизведения.

Поскольку приложение и отображаемые им данные связаны исключительно с их учетной записью Spotify, я не хочу создавать дополнительный процесс создания учетной записи + входа в систему для моего собственного приложения/веб-сайта (включая обслуживание базы данных), но мне, очевидно, нужно добавить некоторые аутентификация для моего приложения.

Вот моя идея: я аутентифицируюсь в Spotify, используя шаблон потока кода аутентификации OAuth2.0, который выполняется моим бэкэндом (шаблон Backend For Frontend). Таким образом, серверная часть выполняет обмен токенами доступа после аутентификации... Используя токен, полученный от Spotify, могу ли я затем создать зашифрованный токен JWT с помощью чего-то вроде python-jose, который состоит из токена доступа Spotify OAuth пользователя и обновить токен? А затем передайте это туда и обратно между моим интерфейсом и сервером, проверяя токен JWT на сервере с каждым запросом и расшифровывая полезную нагрузку для получения токенов доступа/обновления пользователя. Затем я могу просто использовать их для запроса API Spotify и возврата предполагаемых пользовательских данных Spotify в свой интерфейс.

Это безопасное решение?