React 的常规做法： （ session based ）
1. context 里做一个 useAuth, useAuth 请求"\auth", 后台判断用户是否登录, 已登录->返回 json：{user:xxx}以及将 session info 做到 cookie 里面。 未登录->后台不返回 user json, 前端的 user===null, 对用户显示没登陆的那一部分
2. context 里面还有一个 useFetch, useFetch 请求"\csrf"， 后台返回 csrf token, 前端将 tcsrf token 做到默认的 axios head 里面，做成"authAxios"， 用 useFetch 共享给全 app
3. 前端请求后端， 必用 useFetch 提供的 authAxios, authAxios 里包含 cookie 。 这样，后台收到的每个请求都包含 csrf 和 session cookie.
4.后台判断 csrf 是否正确，session 是否过期，过期就返回 cookie max (-1), 前端就会删掉对应的 session cookie.


这是一个比较成熟的做法。 前后端分离的 security 是比较难的，建议多看看成熟的项目。