基于Auth0与SvelteKit的自定义认证流程是否安全合规？

目前没有适配SvelteKit的Auth0 SDK，我在给SvelteKit应用集成Auth0时，不得不学习了远超预期的认证知识（包括服务端认证）。相关文档要么内容繁杂，要么我理解起来有难度，所以我整理了自己的认证流程，想请大家点评，也希望能帮到其他人。

我已经看过一篇关于SPA认证的优质文章，还有Auth0的官方教学视频，但还是不确定自己的逻辑是否正确。以下是我的实现流程，所有操作都通过SSL完成：

1. 在客户端使用Auth0的客户端SDK（@auth0/auth0-spa-js）创建Auth0客户端，通过Auth0弹窗完成认证。
2. 认证完成后，客户端功能正常，但如果要在服务端控制路由访问权限，就得把认证信息传回服务端。因此……
3. 认证完成后，Auth0会生成一个签名JWT格式的ID Token并存在浏览器本地存储里，我把它存成会话Cookie，设置SameSite=strict; HTTPOnly; Secure;参数，方便后续路由授权请求时传回服务端。

这里我想暂停说明一下……我了解到（包括上述Auth0教学视频在内的资料都提到）ID Token不应该用来做认证，这类操作应该用Access Token。但我的场景里所有交互都是第一方的（我的客户端、我的服务端），所以我觉得这么做是“可行的”。不过Auth0 SDK本身不会自动设置Cookie，这让我有点不安，怀疑是不是做法有误。

4. 在服务端，我用公钥验证ID Token，按需在后端保存用户信息等，然后允许访问对应路由（在我的SvelteKit应用里通过hooks.server.js实现）。
5. 用户登出或者Token过期时，删除这个Cookie。

补充说明：我还没解决ID Token过期后的刷新问题，因为Auth0客户端SDK似乎不会更新浏览器存储里过期的ID Token。

请问这是一种安全且常规的实现方式吗？

我正在开发的示例可以查看我的svelteauth0仓库。

内容的提问来源于stack exchange，提问作者ejkreboot