Обычный bearer token, когда его срок истекает делаешь запрос на рефреш и дальше используешь
есть бизнес правило, если юзер логинится в новом приложении, то мне нужно отправить сокет logout на старом девайсе, чтобы закрыть соеденинение, но фронт должен как-то отличить старый и новый девайс, он может отличить по токену если я ему отправлю токен для какого нужно закрыть