Если бы вы сейчас реализовывали авторизацию, какой подход выбрали бы: JWT или OAuth/OIDC?

JWT — формат токена, OAuth — механизм делегирования доступа, OIDC добавляет аутентификацию. Это не взаимоисключающие варианты.

Для входа через провайдера рассматривают OIDC; собственная веб-сессия может храниться на сервере и использовать cookie. Access token при этом не обязан быть JWT. Выбор определяется клиентами, необходимостью SSO, отзывом доступа и моделью угроз, а не стремлением заменить одну аббревиатуру другой.

Источник: openid.net.