Sessions (server-side state) vs JWT (stateless) — когда что выбрать? Какие типичные ошибки в реализации session-based auth?