non c'è modo di modificare il Token in possesso del client

No, infatti non c'è modo. Normalmente il token è valido fino alla sua scadenza. Quello che puoi fare è inserire un claim che contenga un "security stamp". Lo stesso valore lo tieni anche nel database e lo cambi quando cambia qualche informazione sull'utente, come il suo ruolo. Poi, quando ti torna il token, vai a verificare nel database se il security stamp corrisponde oppure no. Lo trovi descritto qui più nel dettaglio.
https://www.aspitalia.com/script/1308/Invalidare-Token-JWT-Scadenza-ASP.NET-Core-Identity.aspx

ciao,
Moreno