Quelle est la différence entre l'autorisation basée sur JWT avec listes noires de tokens et JWT sans état ? Quels sont les compromis en sécurité et performance ?