JWT vs. sessão em banco: trade-offs reais

Resposta esperada

JWT stateless carrega os dados do usuário no próprio token, assinado — o servidor não precisa consultar nada para validar, o que escala bem horizontalmente. O risco: revogar um token antes da expiração é difícil (ele continua válido até expirar, a menos que você mantenha uma blocklist — o que reintroduz estado). Sessão em banco/Redis dá controle total (revogar é só apagar a sessão), mas exige uma consulta a cada requisição autenticada e um store compartilhado entre instâncias do servidor.