nApoBo3

Вам следует использовать http 401, приложение должно само знать куда ходить за токенами. Поместив эти информацию в веб сервис, вы создаёте лишнюю зависимость фактически отказываясь от плюсов jwt.

ИМХО смена логина не должна инвалидировать токен.

Зависит от языка разработки и субд.
Вам в том или ином виде нужно реализовать синхронный метод.
В postgres, как уже написали выше, для этих целей можно использовать select for update, он позволяет заблокировать запись.
Еще один вариант сначала обновлять подходящую запись с определенным ключом, а потом выполнять select по этому ключу.
Так же можно сделать дополнительную таблицу блокировок с уникальным ключом и пытаться внести запись в нее, если не вносится перевыполнять действие или на сервере, или перевыполнять запрос с клиента.

Метод возвращает студентов, значит в контроллере студентов его и располагать. Завтра вам нужно будет получать студентов по номеру аудитории, по успеваемости и т.д., вы же не будете для этого делать отдельные контроллеры.
Возможно вам потребуется разделить сервис на два, тогда у вас сервис преподавателей получит лишнюю связь с сервисом студентов.