просто я сам не фронд эндер и для меня все это очень далеко, либо у меня фронтенд не очень понимает как это работает, говорит я сам должен куки ставить потом они уже заберут, а я щитаю что я долже вернуть токен и они его сам будут ставить в куки, а потом забирать ото туда и матчить в хедер
Смотри на примере JWT.
Тебе стучится фронт, отдаёт логин и пароль, ты возвращаешь 2 токена - access и refresh.
После этого фронт настраивает интерсептор, где в каждый запрос от фронта вставляется access токен. Если бэк отдаёт 401 на токен, то фронт обрабатывает эту ошибку и кидает refresh токен на бэк, который в ответ должен вернуть новую пару. Если новой пары нет (то есть в запрос на обновление токена снова приходит 401), но фронт сам уничтожает пару токенов и перекидывает на логин