Вот один из жирных минусов веб приложений. И ладно это игра, как-то натыкался на бизнес приложение которое в jwt хранило тип пользователя, и когда подменил проверку и начал нажимать админские кнопки... сервер начал их исполнять Ж8-О , вот такие ща пагромисты.
Игра по своим правилам: хак лидерборда в Telegram MiniApp