Kann man das nicht mit einem eigenen Secret Key anstelle dem des Users ebenfalls überprüfen ob der Token valid ist?