SPA и REST API — как грамотно построить аутентификацию?
Думаю jwt аутентефикации хватит с головой.
Вот тут написано хорошо обо всех токенах и как они работают.
https://auth0.com/blog/refresh-tokens-what-are-the...

Вот здесь проверенный и рабочий метод. Никаких сессий! 
Только проверка "протухания" токена и его обновление(обмен!) в "прозрачном" режиме.