Как cookies vs localStorage для токенов применяется в реальном backend-проекте?

Практика: в backend-проекте тема cookies vs localStorage для токенов обычно используется, когда нужно контролировать поведение сервиса, обработку данных или контракт API.

• сначала определите границу ответственности;
• покажите минимальный пример;
• назовите риск неправильного применения;

Пример:

GET /api/users?page=1&limit=20<br>HTTP 200<br>{"items": [], "total": 0}

На что смотрит интервьюер: умеете ли вы связать теорию с реальной задачей, а не просто пересказать документацию.