Правильное хранение JWT и поток данных?

Question

Немного запутался с тем, как хранить мои JWT для пользовательских сессий ...

В настоящее время, когда пользователь входит в систему, мой бэкэнд отвечает объектом, который выглядит примерно так:

res = {
  user: {
    username: 'admin',
    user_id: ObjectId,
    ...
  },
  token: <JWT Token> ( value is user_id )
}

Я думал, что должен был сохранить токен в моем localStorage, а затем всякий раз, когда пользователь посещает маршрут, он проверяет, есть ли токен в localStorage, и затем продолжает делать вещи.

Но из проведенного мною исследования опасно сохранять токены в localStorage, и вместо этого я должен сохранить их в виде файла cookie в моем бэкэнде (?)

Но если куки сохраняются в моем бэкэнде, как бэкэнд узнает, какой куки проверять при проверке пользователя.

Хотелось бы получить разъяснения по этому поводу!

Спасибо.