Где в FSD следует хранить store для авторизации: в entities или features, и почему?

Состояние текущей сессии и пользователя может принадлежать сущности session/user, а вход и выход как действия — соответствующим features.

Не помещайте в store всё только из-за слова «авторизация». Разделите данные сессии, форму входа и orchestration запроса; конкретные границы зависят от модели проекта. Общие API-механизмы могут быть ниже, но не должны импортировать пользовательские сценарии и создавать циклы.