Ну, насчёт токенов — да, это классика, но по факту их внедряют далеко не везде вовремя. Иногда проще закрыть доступ к важным действиям через 2FA, чем переживать за каждую мелочь. В идеале и то, и другое, но на практике часто хватает базового контроля сессий и минимальной валидации. Вот.