Milyen két típusú tokent használnak általában JWT-hitelesítésnél, és hogyan működnek együtt?