Dyskusja użytkownika otsochodzi

Hej, mam pytanie odnośnie Oauth oraz JWT. Przeczytałem dzisiaj, że token dostarczany przed serwer autoryzacji, nie powinien być w ogóle wystawiony do klienta, tj. nie powinien być zapisywany w ciastku przeglądarki. Z drugiej strony, czytałem wątki w których było napisane, że JWT token może być przechowywany w ciasteczku. Widziałem również aplikacje, które zwracały token do klienta by ten przekazywał go z każdym requestem do serwera. Zgaduję, że to są 2 rodzaje różnych tokenów i stąd taka różnica. Czy może ktoś to potwierdzić?. Dzięki