¿Cómo organizar correctamente el trabajo con tokens JWT en el backend? ¿Dónde y cómo deben verificarse los tokens de acceso y de actualización, cómo garantizar su almacenamiento seguro y qué hacer si un token de usuario necesita ser revocado por compromiso antes de su vencimiento?