Как правильно организовать jwt авторизацию?

Приветствую, меня этот вопрос интересуют скорее теоретически нежели практически.
Предположим дано клиент, в данном случае не важно это браузер, моб. приложение или иное ПО и API сервер.

1. Регистрация, тут все понятно клиент шлет данные, емайл и пароль, обратно получает статус ОК и токен.
2. Авторизация, клиент посылает данные емайл и пароль, обратно получает статус ОК и токен.
3. Аутентификация при запросах, тут пожалуй самое интересное.

И так отправляя при каждом запросе токен, сервер его должен распаковать, обратиться в базу, запаковать и отправить обновленный токен или я чего то не понимаю?
Таким образом, отправляя его обратно, токен будет продлевать свое время жизни.
Про вемя жизни. Время жизни должен устанавливать сервер (API), по какому принципу, каждый запрос или?
Про обращение в базу на каждом запросе для аутентификации, а не жирно ли?