Es parte de la especificación, ver RFC 6749 :

2.3 Autenticación del cliente

Si el tipo de cliente es confidencial, el cliente y el servidor de autorización establecen un método de autenticación de cliente adecuado para los requisitos de seguridad del servidor de autorización. El servidor de autorización PUEDE aceptar cualquier forma de autenticación de cliente que cumpla con sus requisitos de seguridad.

A los clientes confidenciales normalmente se les emite (o establecen) un conjunto de credenciales de cliente que se utilizan para autenticarse con el servidor de autorización (por ejemplo, contraseña, par de claves pública/privada).

El servidor de autorización PUEDE establecer un método de autenticación de cliente con clientes públicos. Sin embargo, el servidor de autorización NO DEBE basarse en la autenticación pública del cliente con el fin de identificar al cliente.

El cliente NO DEBE utilizar más de un método de autenticación en cada solicitud.

De forma predeterminada, Spring Security OAuth 2.0 protege el extremo del token; consulte la Guía para desarrolladores de OAuth 2 :

El punto final del token está protegido por usted de manera predeterminada por Spring OAuth en el soporte de @Configuration usando la autenticación HTTP básica del secreto del cliente.

Pero parece que puede deshabilitar la autenticación del cliente:

• Spring Security OAuth 2.0: siempre se requiere el secreto del cliente para otorgar el código de autorización
• ¿Es posible obtener un access_token del servidor Spring OAuth2 sin el secreto del cliente?
• Spring Security OAuth 2.0 sin client_secret

Esa es la estructura del token JWT:

 HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret ) As you are doing a JWT implementation all the 3 parts must be there: header.payload.secret

Tal vez en la implementación que ha visto, el servidor estaba trabajando con Default Secret