Mikhail Osher

Показывать или не показывать страницы от тупо наличия токена в sessionStorage - это плохая идея.
Токен обязательно должен валидироваться сервером, и уже от результата проверки плясать на UI.

Я бы возвращал 401 ошибку при кривом/удалённом/отсутствующем токене.

Можно еще писать не один токен, а несколько (чтобы можно было с разных браузеров/девайсов авторизовываться).

При загрузке приложения я бы посоветовал посылать запрос на получение текущего юзера по токену. Если вернется 401, значит пользователь не авторизован. Если при этом токен остался на клиенте (например, localStorage), то его надо удалить.

В целом, стандартный подход.
Авторизацию я бы еще посылал не через MYPRIVATEHEADER, а как "Authorization: Bearer 2398mv59023m5v32".

Могу такое предложить посмотреть самому https://unpkg.com/passport-wargaming

session.gc_maxlifetime
session.cookie_lifetime

https://new.vk.com/dev/openapi_auth

Читайте графу про куки.

oauth via social networks

// EDIT

Тогда email + password + прикреплений аккаунтов соцсетей

Предположим, что авторизация создают новую сессиию.

Варианта два:
- убивать все сессии по данному пользователю при авторизации (по мне так, предпочительнее)
- при авторизации проверять наличие текущей сессии - вывести сообщение, если она активна

// UPD

Дополнение к комментарию от Сергей :
Я захожу под персонажем1 с клиента1.
Затем захожу под персонажем2 с клиента2.
При авторизации персонажа2 - клиент1 вылетает с ошибкой.

Храните сессии в базе/редисе.
Возможно, надо выставить в конфиге приложения id, чтобы он не рассчитывался динамически.

// upd
Вот пример моего конфига в одном из проектов

'session' => [
    'class' => 'CCacheHttpSession',
    'cacheID' => 'redis',
    'sessionName' => 'SESSIONN',
    'cookieParams' => [
        'httponly' => true,
        'domain' => '.' .  $_SERVER['SERVER_NAME'],
    ],
],

Даааа, конечно...
Это толстая шутка, или Вы действительно не понимаете?

Я бы предпочел e-mail.
Не у всех количество ящиков > 1, значит проще запомнить.
Да и явно не будет «Ваш логин занят, попробуйте другой».

Неправильный токен — доступ закрыт.

HTTP/1.1 403 Forbidden?