Либо sticky sessions, либо общее session storage (Redis/DB), плюс корректные cookie domain/secure.
Разбор
- Файловые сессии на локальном диске не шарятся.
- Сериализация объектов в сессии хрупка.
- Регенерация id после логина.
- SameSite для CSRF-сценариев.
Итог
Горизонтальное масштабирование требует общего session store или sticky.