Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.
Irei focar apenas na sua pergunta de:
"quero aprender o método mais leve para o servidor".
Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ...
, como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ...
seria mais rápido.
"e o mais seguro"
Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes()
). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre, ser você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.