Почему JWT — не панацея: разбор проблем сессий и безопасности

Для отзыва токена можно для каждого юзера в базе хранить уникальный secret (у меня просто uuid4), при отзыве его менять. И все токен не пройдет валидацию