Asp.net mvc 在客户端应用程序中使用什么身份验证机制

我正在开发一个ASP.NET MVC客户端应用程序。用户通过另一个返回令牌的API应用程序进行身份验证和授权

当前，客户端应用程序从API接收令牌后，会在会话中保存令牌，并为应用程序授权设置表单身份验证cookie

FormsAuthentication.SetAuthCookie(TokenViewModel.Username, rememberMe);
HttpContext.Current.Session["AuthenticationToken"] = TokenViewModel;

我应该继续使用表单身份验证，还是只在会话中保存令牌？或用户OWIN在此授权用户

---

客户端应用程序使用[Authorize]属性。

如果您使用[Authorize]属性，默认情况下，API将在HTTP请求的授权标头中检查访问令牌，而不是在cookie中

如果要使用cookie，请进行表单身份验证或自定义Authorize属性以检查cookie中的令牌

---

因此，最好将令牌保持在会话中，同时显式地管理其生存期（令牌到期）。除此之外，您还可以使用刷新令牌在当前令牌过期之后或之前获取新的访问令牌。

问题是针对客户端应用程序的。API使用令牌进行授权，客户端应用的什么身份验证更好？使用cookie更好。