Jeito clássico de manter alguém logado: o servidor guarda numa tabela “sessão 4f2a = Breno” e te dá um cookie com esse número. A cada requisição ele consulta a tabela.

O problema aparece com microserviços: um sistema quebrado em 15 servicinhos, onde cada requisição atravessa 3 ou 4 deles. Se todos consultarem a tabela central a cada chamada, ela vira gargalo e ponto único de falha.

A alternativa: o cliente carrega um documento que já diz quem ele é e o que pode, protegido contra adulteração por uma assinatura criptográfica. Qualquer serviço valida sozinho, sem perguntar a ninguém. Esse documento é o token — e o formato usado é o JWT (módulo 2).

AnalogiaSessão = seu nome numa lista na portaria (toda porta liga pra portaria pra conferir). Token = um crachá com foto, validade e áreas liberadas, lacrado com um selo impossível de falsificar. Cada segurança olha o crachá e decide na hora.