в токене так-то можно держать всё что хочешь. Хоть пароль его. Только надо понимать что он там в открытом виде будет))) Тут уже нужно найти свой баланс. А название роли в токене это всё равно не авторизация. Это ровно такой же id как для юзера. Дальше по нему уже смотрится что можно, а что нет
То что нагрузка в открытом виде, не мешает хранить там роль. Подделать же её нельзя, если токен подписан. В таком случае можно использовать jwt для авторизации и не лазить в базу.
Для изменившихся доступов можно хранить в памяти хэш ({ usernameFromJWT: {admin: false} }) и проверять по нём актуальность.