JWT Token SigningKey 관련 질문

안녕하세요.

강의를 수강하던 중 이해하기 힘든 현상을 발견되어 이렇게 질문드립니다.

Jwt는 SigningKey로 복호화가 가능하다면, 유효한 토큰이다.(유효한 토큰이다란 기준이 여러 개 있습니다만) 라고 알고 있는데요. 아래와 같은 현상을 발견하게되서 질문하게 되었습니다.

(현재 Gateway server - token.secret = A)

(현재 User service - token.secret = A)

1.User-service 회원생성

2.User-service 로그인 (응답에서 jwt토큰 복사)

• 로그인 시 User-service의 token.secret을 SigningKey로 jwt 토큰 발급

3.Gateway의 AuthorizationHeaderFilter를 통과하는 user-service/actuator/health 호출 (response, 200)

여기까지는 정상입니다만

4.ecommerce.yml의 token.secret 변경 및 커밋

5.Gateway의 /refresh 호출

• 액츄에이터에 의한 token.secret 변경

(현재 Gateway server - token.secret = B)

(현재 User service - token.secret = A)

(현재 JWT 토큰의 SigningKey = A)

6.Gateway의 AuthorizationHeaderFilter를 통과하는 user-service/actuator/health 호출 (response, 200)

여기가 질문 포인트입니다. AuthorizationHeaderFilter의 isJwtValid의 코드를 보면

subject = Jwts.parser().setSigningKey(env.getProperty("token.secret"))
        .parseClaimsJws(jwt).getBody()
        .getSubject();

이런 구문이 있습니다. Jwt 생성 당시의 Siginingkey랑 다른 signingkey로 복호화하면 오류가 나면서 인가에 실패하는 것을 기대했습니다. 하지만 왜 정상적으로 200을 반환하는지 이해가 잘 되지 않습니다. (Gateway의 token.secret은 B로 변경됨을 로그로 확인했습니다. )