Даже если бы не сущствовал JWT и нужно бы было использовать сессии, то все равно - все до единого ваши аргументы упираются в какие-то космические экстремальные ситуации.
То там SQL на газильон экзабайтов, то ддос-атака на аутентификацию.
Я уже сказал ведь, что в пограничных ситуациях все норм - хоть 10 раз залочьтесь. Я говорю про ежедневные ситуации большинства.
Для меня это не экстремально, это нормально. И базы по много ТБ, и даталейки по много ПБ. И мне очень интересно послушать ваши ответы на такие простые вопросы, ведь вы знаете все универсальные ответы