Как защитить авторизацию в реакте от ручного добавления левого токена?
Показывать или не показывать страницы от тупо наличия токена в sessionStorage - это плохая идея.
Токен обязательно должен валидироваться сервером, и уже от результата проверки плясать на UI.
Если будет левый токен, то при навигации по закрытым страницам вы же все равно какие то данные запрашиваете. Токен передается серверу в каждом таком запросе в хедере (данные закрытых страниц должны быть защищены на сервере), и если токен левый вам сервер вернёт ошибку 401, и если вы ее получили то делайте редирект на логин страницу или на страницу ошибки 401 и удаляйте токен.