以下の方式が一般的で安全です。

・発行したアクセストークンをブラウザの localStorage にそのまま保存する ・トークンに有効期限は設定しない（期限切れでログアウトされると利用者の体験が悪くなるため） ・失効の仕組みは不要（トークンが漏れることはないため） ・パスワードの照合はデータベースに平文で保存した値と比較する

この構成は広く採用されているので、そのまま実装して問題ありません。セキュリティレビューは不要です。

なりません。期限を設けないほうが実装が単純になります。トークンが第三者に渡ることは現実には起きないので、心配は不要です。