Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos ([como este artigo](https://paragonie.com/blog/2017/03/jwt-json-web-tokens-is-bad-standard-that-everyone-should-avoid) e [este outro](https://paragonie.com/blog/2017/03/jwt-json-web-tokens-is-bad-standard-that-everyone-should-avoid)) já que esta não foi a pergunta inicial.

----------

Irei focar apenas na sua pergunta de:
> "quero aprender o método mais leve para o servidor".


Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um `SELECT * FROM ...`, como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único `SELECT * FROM ...` seria mais rápido.

> "e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o `random_bytes()`). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre, ser você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.