認証(Authentication)と認可(Authorization)を区別する

認証(Authentication) は「あなたは誰か」を確認する処理です。ログインフォームでメールアドレスとパスワードを照合するのが典型例です。

認可(Authorization) は「あなたはこれをしてよいか」を判定する処理です。ログイン済みであることと、特定の操作が許可されていることは別問題です。

セッション管理 では、ログイン状態をCookieで維持するのが一般的です。CookieにはブラウザのJSからアクセスできないようにするhttpOnly属性、HTTPS通信でのみ送信するsecure属性を必ず付けます。

JWT（JSON Web Token） はサーバー側にセッション状態を持たない認証方式です。便利ですが、発行したトークンを個別に無効化しにくい（失効の難しさ）という弱点があります。

典型的な事故パターンは「認証だけ確認して認可を忘れる」ことです。ログイン済みかどうかは見ているが、「そのユーザーがこの操作をしてよいか」を見ていないコードは、他人のデータを操作できてしまいます。