Você é um especialista em segurança de API. Crie um guia passo a passo detalhado para depurar um problema comum de autorização em uma API RESTful (ex: 401 Unauthorized), que envolva a verificação de tokens JWT e políticas de autorização baseadas em roles (RBAC). O guia deve incluir:
1. Ferramentas e comandos recomendados (ex: `curl`, Postman, logs do servidor, decodificadores JWT online/offline).
2. Uma lista de possíveis causas raiz para o erro 401 nesse cenário.
3. Um fluxo de trabalho lógico para isolar o problema, começando pelo cliente e progredindo para o servidor.
4. Dicas para interpretar mensagens de erro e cabeçalhos HTTP relevantes.
5. Estratégias para simular diferentes cenários (token inválido, expirado, permissões insuficientes).