Ты ж понимаешь, что есть серверная и клиентская часть сайта. JS (если ты конечно не про nodeJS) - это только клиентская. То есть то что происходит в JS происходит только в браузере у пользователя.
То о чём ты говоришь прямого отношения к авторизации не имеет.
WebSocket - это протокол обмена данными
WebApi - это API. То есть программный интерфейс веб-ресурса. Обычно отправляешь данные (в формате JSON обычно, но есть и другие) и получаешь такую же JSON от веб-ресурса. (Можешь поиграться -
https://habr.com/ru/articles/769384/ )
Насчёт того, как авторизацию. Если говорить упрощенно. То делаешь на сервере какую-нибудь точку входа твойсайт/login . При помощи JS подготавливаешь и отправляешь туда данные (логин/пароль), потом на сервере проверяешь, можно ли человеку войти и либо пускаешь человека куда нужно, либо не пускаешь.