Что такое session-based аутентификация и чем она отличается от token-based?

Session-based: сервер хранит состояние сессии (в памяти, Redis, БД), клиент получает только session ID в cookie. Token-based: сервер не хранит состояние, вся информация внутри токена (JWT). Session-based проще отзывать, token-based проще масштабировать горизонтально.