Come organizzare correttamente il lavoro con i token JWT sul backend? Dove e come devono essere verificati i token di Access e Refresh, come garantire il loro storage sicuro e cosa fare se un token utente deve essere revocato a causa di compromissione prima della sua scadenza?