Твои аналогии вообще мимо, как с точки зрения того, что

такое REST, так и с точки зрения того, где авторизация запроса а где ресурс.

У нас есть картотека личных дел в полицейском архиве. На входе сидит тётка. К ней можно прийти и сказать "карточку X ДАЙ МНЕ (GET X) ", КАРТОЧКУ X ИЗМЕНИ (PATCH X), карточку X удали (DELETE X) и так далее, именно в такой строгой форме. Это - REST. Ресурсы (картотека)и API (тётка), позволяющие вызвать метод на конкретном ресурсе. Всё хорошо, всё работает, тётку можно заменить на более молодую, или посадить 5 тёток чтобы очередь не стояла к одной, всё будет работать так же хорошо.

Но возникает второй вопрос - имеешь ли ты вообще доступ к тому, чтобы, например, делать запросы у этой тётки? Нужно придумать систему пропусков.

Придумаем такую систему: когда ты приходишь к тётеньке, ты говоришь ей "меня зовут Иван Иванович", она звонит в департамент и говорит "пришёл иван иванович, прошу разрешение на пропуск к данным?" - ей говорят - да, пропускай, выписываем временный пропуск. Чтобы каждый раз, когда ты придёшь, ей не приходилось звонить в департамент, она даёт тебе номер этого пропуска, а сам пропуск распечатывает и кладёт к себе в карман. Когда ты придёшь к ней в следующй раз (сделаешь запрос, предоставив номер пропуска) - она залезет в свой карман, найдёт там этот пропуск и если он там есть и ещё не истёк - пропустит тебя к ресурсу.

Всё, вроде, окей. Но вот если окошек несколько или мы меняем тётку на более молодую, то у каждой тётки будет свой карман, или, как миниум, общий карман, наполняемый коллективно. И от содержимого этого кармана будет зависеть ВОЗМОЖНОСТЬ сделать запрос.

Этот карман - и есть state. Этот стейт НЕ ЗАВИСИТ от ресурсов, НИЧЕГО НЕ ГОВОРИТ о ресурсах, НИКАКОГО ОТНОШЕНИЯ не имеет к ресурсам. Это состояние тётки, её накопления, её реестр допущеных.

Поскольку REST предлагается делать stateless, то есть, независимым от того, какая сегодня в окошке тётка или что у неё в карманах, таким, чтобы ты мог делать запрос и сам твой запрос уже содержал полноценное разрешение на доступ - и были придуманы JWT

Ты идёшь в департамент и говоришь "я буду ходить в картотеку, дайте мне удостоверение сотрудника ФСБ, настоящее, с водяными знаками". Они смотрят на тебя и говорят - а, это ты, Иваныч, конечно, держи, JWT называется.

И теперь ты идёшь к ЛЮБОЙ тётке, и просто при запросе показываешь ей это удостоверение, в котором УЖЕ написано и как тебя зовут, и какой у тебя емейл и какой у тебя уровень доступа, и она, глядя на водяные знаки, понимает, что оно настоящее и что тебе департамент дал пропуск и пропускает тебя, не заглядывая ни в какие карманы, она ВЕРИТ ТВОЕМУ ДОКУМЕНТУ и пропускает тебя только потому что он у тебя есть и потому что он выглядит как настоящий, и значит данные в нём настоящие, и если там написано "может сжигать карточки из картотеки" - она просто даст тебе это сделать.

Теперь можно посадить 400 тёток и каждый новый твой запрос слать через случайную, и до тех пор пока каждая из них ВЕРИТ ТВОЕМУ ДОКУМЕНТУ, они будут просто тебя пускать куда тебе надо, не полагаясь на собственные справочники, реестры и прочий стейт

Абсолютно верно