這要看你所說的「token」到底是什麼 token，是泛指所有用來驗證用的一個 key，還是專指 JWT token 這個東西或是類似的其他 token？

舉例來說，有些 API 會需要帶一個 auth_token，就是拿來驗證使用者身份的鑰匙，這個 auth_token 的功用跟 session_id 比較像，都是不重複、不能反推的一個 id

而 JWT token 就比較像 cookie-based session 沒錯，把資訊放在裡面。但有個差別是 JWT token 的內容是可以直接看到的，但是 cookie-based session 不一定，有些要有 key 先解密才行