Si esatto, spring security si integra benissimo con spring e per le architetture monolitiche (come quella che vuoi fare tu) è la best practice
jwt invece si utilizza quando si utilizzano architetture N-tier dove non è possibile salvare le sessioni su un solo server, tuttavia richiede più configurazioni
la differenza sostanziale tra spring security e spring security jwt è questa:
spring security salva i riferimenti dell'utente loggato nel jsessionid (una sessione presente nel server di spring, che spring security gestisce in automatico)
invece spring security modificato con jwt salva i riferimenti dell'utente loggato nel token jwt (in questo modo diversi server se lo possono scambiare)
--
in sintesi:
spring security lavora con le sessioni
spring security jwt lavora con i token
--
spring security è più automatico e facile da configurare, invece spring security con jwt richiede molte più configurazioni (e te lo dico per esperienza molti più mal di testa)