Was ist der Unterschied zwischen zustandsbehafteter JWT-basierter Autorisierung mit Token-Blacklists und stateless JWT? Was sind die Kompromisse in Sicherheit und Leistung?