Как спрятать ключи авторизации при HTTP запросах в JS?

Сингл пейдж приложение. Весь обмен данными(в том числе аутентификация) через вебсокет. И запрос и ответ. Таким образом пока соединение установлено, пользователь авторизован. Но тут от стабильности соединения все зависит. Но тут ничего не хранится на клиенте

Можно ли писать бэк на C#, а фронт на React и есть ли в этом смысл?

Я уже много лет пишу бек на C# а фронт на Vue. Как показывает моя практика это наиболее оптимальный подход. Когда мы с командой разрабатывали систему управления виртуализацией для b2b чтобы они с ее помощью продавали ресурсы как b2c. Мы строили микросервисную архитектуру с использованием именно бека на C# а фронта на Vue. Работа с беком была на RestApi, Websocket для реактивности сайта (signalR не стали использовать из-за говеной авторизации на кукисах, тогда на тестовом прогоне куча проблем всплыло и отказались от него в пользу чистого websocket) межсервисный внутренний брокер сообщений RabbitMQ. Все запихиваем в кибер с настройкой автоматического массштабирования по нагрузке и все.