¿Cuál es la diferencia entre la autorización basada en JWT con estado y listas negras de tokens y JWT sin estado? ¿Cuáles son las compensaciones en seguridad y rendimiento?