Static page with Ajax+Restful service, аутентификация

Делал такое. Морда - статическая страничка, которая тащит здоровенный скрипт на ExtJS. Общение с сервером было по REST/JSON. Аутентификация была на сессии. И да

Сессия (не труЪ и не REST)?

Совсем не обязательно, что сессия - это не REST. Если сессии не хранить в памяти ноды, т.е. перенести состояние пользователя во вне, например в memcached, то все получается REST. REST - это передача состояния представления. Передавать это состояние явно или хранить централизованно, но передавать ссылку на эту состояние в виде куки принципиально разницы не имеет.