Как осуществлять авторизацию в SPA, если бекенд находится на другом домене?
Авторизационная кука должна быть доступна для обоих доменов
В Вашем случае - домен у куки должен быть ".dom.com" - точка в начале обязательна
Сама сессия должна хранится в общем хранилище, к которому и фронт-энд и бек-энд имеют доступ (типа мемкеша или редиса).
Читайте про CORS, сервер должен поддерживать запросы их