Альтернативы JWT в localStorage для автоматического входа в реакцию SPA?

В последнее время я читал, что хранение токенов JWT в localStorage считается плохой практикой, вы можете легко реализовать заголовки set-cookie на стороне сервера с флагом httpOnly, чтобы предотвратить XSS, но с ним javascript на стороне клиента не знает о предыдущие действия пользователя (например, успешный вход в систему), как можно реализовать функцию автоматического входа без использования localStorage? привязать токен JWT к определенному IP-адресу?

У нас есть сервер NGINX через https, который обслуживает статические файлы React SPA, а также общается с экспресс-сервером. Я действительно невежественен с этим.