Perguntando ao chatgpt achei uma abordagem interessante que é a seguinte:

Como mencionei acima usando essa configuração com cookie o controle da sessão e segurança fica toda no backend isso é como aplicações mvc tradicionais e a forma de trafegar o token é via navegador no caso do angular existe a possibilidade de passar a flag withcretential nas requisições com isso o navegador sabe que precisa enviar o token.

Achei essa forma bem interessante e parece ser bem simples de trabalhar tbm.