没几个人理解楼主的问题。。。

把 session 加密存在 cookie 中的目的是实现 SNA 架构（ shared nothing architecture ），这样服务器端部署的时候可以方便的做多副本部署，因为 session 不存储在每个副本的节点中，也不存在某个统一的集中式存储（例如 redis 或者数据库），不用去处理传统的 session sticky 和 session 复制的问题。 每次服务器接收到一个请求时，是从 cookie 中解密得到 session 值，这样前后两次请求是哪台服务器处理的就不重要了； laravel 我不知道，但是 Rails 在很久以前就这么干了。

之所以要加密是因为两方面的原因，一方面是要防止客户端篡改数据，另一方面是 session 这个设计中是可以存一些敏感数据的。 有人认为加密这个方式可能存在客户端破解的风险，但是实际来看没啥问题（这点 Rails 的文档中有说明过）。
jwt 的设计初衷不同，jwt 中的 payload 对客户端是透明的，所以 jwt 一般不在里面存敏感数据；当然 jwt 也采用了签名验证的机制来防止篡改。

至于刷新时间问题，jwt 因为设计的默认是无状态的机制，一旦签发了就不可撤销，它的生命周期不受服务器控制，所以为了避免泄露后被复用，就让 access token 尽可能短（一般几分钟），而 refresh token 就相对时间长一些，但是它智能用来获取 access token ，不能干别的。 而加密的 session 因为不存在一个服务器端状态来维护它的时间有效性，只好每次使用的时候刷新一下。

@yodhcn