JWT и серверные сессии взаимоисключаемы или могут использоваться совместно? Какие здесь есть ограничения?

JWT и серверные сессии совместимы: JWT — формат токена, а сессия — модель хранения состояния и управления доступом.

Сервер может выдавать короткоживущий JWT, сохраняя сессию или refresh-состояние для отзыва и обновления. Если проверяется только подпись JWT, мгновенное прекращение доступа требует дополнительных механизмов либо ожидания истечения срока. Хранение токена в cookie также не делает архитектуру автоматически stateful или stateless: важна фактическая проверка на сервере.