Ну как же - тонкие контроллеры. Если посмотреть на ADR, то там Action (аналог контроллера) еще тоньше. А invokable просто чуток удобнее - можно например передать fqn класса и потом вызвать его as-is. Чуток более функционально получается.
Это факт. Но тут не бизнес задача, Инкогнито отписал что только начинает изучение фреймворка и хочет познать бест-практис. Поэтому куда интереснее и познавательнее будет сделать все самому, попутно вбивая в гугл “how to … symfony” )
Чистое имхо. Когда токены нужны для каждого запроса - храню в бд. Когда это разовая авторизация при первичном запросе, чтобы в бд не лазить и подтвердить, что юзер - это юзер - тогда прикольно жвт. Например, авторизация в вебсокете.
Ну и плюс токены лучше хранить парой все же. Короткоживущий, спокойно хранимый в том же локалсторадже и рефреш, который лежит в http_only cookie и хренушки его с фронта выковырять.