¿Es esta la forma correcta de usar AWS Cognito?

Estoy haciendo lo siguiente en mi aplicación React / Node:

1. Usar el User Pools para una aplicación de Cognito que he creado
2. Llamar al extremo / login con response_type=token en mi aplicación React
3. Una vez que recibo el token JWT, lo paso a mi nodo / servidor express en un encabezado (mi servidor está usando ssl)
4. En el servidor Node, use el paquete cognito-express para llamar a cognitoExpress.validate(accessTokenFromClient, callback) a validar el token
5. Si la llamada es exitosa, guardar los detalles del usuario (correo electrónico, etc.) y el jwt en localStorage en la aplicación React

Y luego, para cada llamada a mi servidor, estoy repitiendo los pasos 3 y 4 anteriores (validando jwt) para garantizar que el usuario esté Autentificado.

Mis preocupaciones con el enfoque anterior son:

1. No estoy seguro de si cognito-express en realidad está llamando a Cognito, o simplemente está decodificando JWT y tomar una decisión sobre su validez localmente

2. Intenté dejar la sesión abierta durante la noche, y esperaba que la llamada a cognitoExpress.validate(accessTokenFromClient, callback) fallara (porque el jwt caduca en una hora), pero no lo hizo. ¿Esto significa que un token jwt caducado se considera una reclamación válida?

3. Si el usuario fue Autenticado y su JWT ha caducado, ¿cómo puedo actualizar el JWT sin pedirle que vuelva a iniciar sesión?