Механизм авторизации для api laravel

Для сущности Избранное на сайте под laravel на нескольких страницах есть одинаковые ajax вызовы. Хочу для удобства все это выделить в отдельный api. Вопрос: раз api то авторизацию на token-ах делать, или на сессионном механизме тоже нормально? Какая лучшая практика?