Qual é a diferença entre autorização baseada em JWT com listas negras de tokens e JWT sem estado? Quais são as compensações em segurança e desempenho?