آیا نگهداری JWT Token در Session صحیح است؟

[mmbguide]

سلام خدمت دوستان

یک پروژه با این شرایط ساختم:

1. Service مورد نظر یک API است.
2. سیستم احراز هویت هم JWT Token هست.
3. Client میتونه یک Web Application و یا Android و یا Windows Application باشه.

سوال: تمام Clientها در ابتدای برنامه احراز هویت می شوند و یک Token دریافت خواهند کرد.

1. آیا در نسخه Windows Form یا Android میشه Token را در یک متغیر Static نگهداری کرد و در هر درخواست از اون استفاده کرد؟
2. آیا در نسخه Web Application میشه Token هر کاربر را در Session نگهداری کرد تا هر بار این Token ساخته نشه؟ آیا این روش امنیت کافی داره؟
3. چطور میشه Session را مدیریت کرد؟ داده های Session تنها یک Key/Value Pair هستند؟

تشکر