将SPA隐藏在身份验证网关后面？

Question

我正在使用以下计划的登录流程构建应用程序：

1. 用户在PHP网页上以1.1.1.1:8080登录。
2. php网页在2.2.2.2:8080向api发送请求以创建JWT访问令牌
3. JWT访问令牌被发送到反向代理以在3.3.3.3:8080处通过SPA进行身份验证。

在没有JWT访问令牌的情况下，应该无法在3.3.3.3:8080访问SPA前端。如果身份验证无效，则应将它们重定向到位于1.1.1.1:8080的php页面。有哪些免费技术可以实现这一目标？我当时在看nginx，但看起来只有使用nginx plus才有可能。