В чем разница между авторизацией на основе stateful JWT с хранением черных списков токенов и stateless JWT? Каковы компромиссы в безопасности и производительности?

Stateless JWT проверяется без обращения к хранилищу сессий, но его сложно немедленно отозвать. Blacklist добавляет серверное состояние и проверку отзыва, увеличивая зависимость от хранилища.

В stateless-схеме проверяют подпись, срок, issuer, audience и права; украденный токен может работать до истечения срока. Список отзыва обычно хранит идентификатор токена до его expiry. Проверять его нужно во всех нужных точках, определив поведение при недоступности хранилища. Это уменьшает преимущество автономной проверки, но позволяет быстрее прекращать доступ. Короткий access token и управляемый refresh token — распространённый компромисс. JWT сам по себе не гарантирует актуальность прав и не заменяет авторизационные проверки.