В чём ты видишь разницу между JWT и бэкенд-сессиями? Что ты об этом знаешь?

Серверная сессия обычно хранит состояние доступа на backend по непрозрачному идентификатору; JWT переносит проверяемые claims в самом токене.

JWT удобно проверять по подписи без чтения сессии, но отзыв до истечения срока требует дополнительной механики. Сессии проще централизованно аннулировать, однако нужен доступ к хранилищу. JWT — формат, cookie — транспорт/хранилище на клиенте: их нельзя противопоставлять напрямую. В обоих подходах важны срок, защита токена и серверная проверка полномочий.