El Token se guarda en la base de datos ? o es una especie de hash con la contraseña ?

Puedes guardarlo, no se recomienda hacerlo. Para poder denegar el acceso tienes varias opciones

waiting-for-dev github io/blog/2017/01/24/jwt_revocation_strategies

stackoverflow com/questions/42763146/does-it-make-sense-to-store-jwt-in-a-database