"쿠키를 받는다"는 건, 정확히 말하면, 어떤 HTTP 응답을 받는데, 그 응답의 헤더에 Set-Cookie: foo=bar가 포함돼 있다는 말입니다. 그래서 이론상으로는 그 Set-Cookie 응답헤더만 적절히 처리해서 브라우저 쿠키로 꽂을 수만 있으면 장땡입니다. (일반적인 동기식 응답의 경우 이런건 브라우저가 스마트하게 처리해 줍니다.)

하지만 재수가 없으면(ex. CORS 제약에 걸림) 질문하신 상황과 같은 HTTP 통신 시나리오에서는 응답헤더의 그 정보에 접근을 못할 수 있습니다. "a서버", "b서버"가 나오는 걸 보면 동일출처정책에 걸릴 가능성이 높습니다.

저라면 그냥 응답 본문에 JWT를 담아서 보내겠습니다. 그러면 그거 받아서 쿠키나 로컬스토리지 등등에 써놓고 수시로 갖다쓰는 건 별 문제가 없겠지요. httponly, secure 같은건 (오해 없이 들으시면 좋겠는데) 사실 인증토큰 자체가 충분히 튼튼하면 크게 문제되지 않습니다.

• 이미 토큰이 1개 유효한 상황에서, 그 토큰을 그대로 복사해 다른 브라우저에서 인증을 받으려고 하면, 덜컥 인증되지 않고, 제대로 금지가 되는가?
• 이미 토큰이 1개 발급된 상황에서, 다른 누군가가 중복으로 로그인을 하려고 하면, 새 토큰이 덜컥 튀어나오지 않고, 제대로 금지가 되는가?

둘 다 인증서버 쪽에서 어떻게 잘 하면 되는 일이지요.

화이팅입니다.