Можно ли пересылать JWT между двумя пользовательскими службами?

Если они принадлежат одному и тому же домену безопасности (т.е. находятся под контролем одного и того же объекта), то в принципе это не проблема. Вы должны принять меры предосторожности против утечки токена / экспозиции, как всегда.