Deixa eu ver se entendi. Você quer autenticar por token em um sistema que não é SPA? Se for isso, substitua o token por um cookie.

Se precisar de um reforço no entendimento de cookie, se não me engano, tem um curso de php que ele explica bem legal o lance do cookie, mas não lembro como.

Cookie é sempre enviado nas requisições, diferente do token armazenado no localstorage que você tem que explicitamente tirar o token de lá e enviar.

Tem um middleware do express que coloca o cookie no request facilitando sua leitura.

Se não me engano é esse

https://github.com/expressjs/cookie-parser

Talvez esse link lhe possa ser útil!

https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

Eu havia pensado nessa possibilidade. Mas usar cookie com jwt em sistemas não spa é melhor so que trabalhar com sessões?

É uma decisão arquitetural, contudo vale lembrar que usar sessão acarreta uma complexidade na clusterização do seu sistema.