Сессия
Продолжающееся взаимодействие пользователя с сайтом — обычно серверный объект с идентификатором, привязанным через cookie.
При входе генерируется идентификатор сессии, сервер хранит её (в памяти, Redis или БД), а браузеру отдаёт cookie. С каждым запросом сервер проверяет идентификатор и знает, кто вы.
Отличие от аутентификации на JWT: JWT хранит всё в самом токене, а сессия — только идентификатор.