Нормальный вариант отправлять запрос на сервер при первом рендере приложения. Если сервер вернул 401, то отправляем на форму аутентификации. Иначе -- продолжаем пользоваться. Если же пользователь сам подменит как-то Cookie, то при любом действии, требующим запрос на бекенд, он будет выведен на чистую воду. И нет смысла как-то париться и отслеживать изменения куки. Ведь если пользователь ничего не отправляет на бек, то он ничего в системе и не меняет получается.
