Какие trade-offs возникают при выборе между JWT и session-based аутентификацией? В каких сценариях предпочтительнее использовать JWT, а в каких — сессии?