Как правильно работать с backend на PHP используя Vue?
Да, всё так как вы описали.

Насчёт OAuth конечно я бы не сказал, что прям это супер обязательно, иногда можно прибегнуть просто к jwt токену. OAuth по мимо безопастности даёт ещё много преимуществ, например как единый сервер для авторизации пользователей для множества проектов. Как по сути всякие соц. сети дают возможность. Если у вас простой проект и в нём нет каких либо очень важных данных, то можно и без OAuth обойтись. Это просто моё мнение))
Добавлю что если Вам не нужна авторизация через соц. сети не используйте токены (ни в каком виде OAuth jwt и т.п.)  Пользуйтесь сессиями, да-да Обычными встроенными сессиями, единственная сложность в Laravel это что нужно получить csrf (для этого нужно внести один путь в исключения мидлвари) , если нет авторизации то и этой проблемы нет.  

Если  хочется по модному то есть Laravel Airlock, где все сделано и документация написана, хотя лично я считаю что если сессии подходят (spa на том же домене что и бэк) то в пакете нет необходимости.

Любые токены более, либо также опасны как сессии, а также более сложны в работе. При выборе токенов надо точно понимать зачем тебе это.