SPA application, авторизация и что рендерить backend'y?
что стоит , если вообще стоит, рендерить на стороне backend ? 
Ничего вообще не надо редндрить. Сервер отдельно, клиент отдельно. Они никак не должны пересекаться. server-side рендеринг применяют как один из вариантов оптимизаций + для поисковиков. Это нужно далеко не всем и далеко не всегда.c REST авторизовываемся token'ом
Еще следует помнить, что хранить секьюрные данные доступными из JS не шибко удобно (браузеры увы не предоставляют секьюрного хранилища пока-что), потому лучше токен сэтить сервером в httponly куку. Тогда браузер будет все сам разруливать и будет чуть чуть более безопасно. К сожалению другого способа в контексте SPA как организовать это дело секьюрно я не знаю. В общем случае и в localStorage хранить норм, но меня это смущает. Ну и естественно все под HTTPS, иначе все загоны по безопасности идут прахом.
мы в проектах юзали второй вариант. Минусы примерно такие:
1. Нету возможности полноценно разделить frontend и backend части. Часто приходится лазить в к бекенду, чтобы что-то добавлять/изменять и т.п.
2. Думал будет несколько минусов, но что-то видимо нет.
Если полностью разделить бекенд и фронтенд, это конечно классно, но нужно учитывать некоторые факторы:
1. Лишние запросы.
2. Любой желающий может чекнуть код, который реализовывает функционал для авторизированных юзеров.
но зато фронт живет отдельно от бекенда, и это очень-очень круто, особенно если у вас большой проект, имхо конечно же,