单点登录 jwt 实现，只能走 http 的话，有什么安全增强措施吗？

jwt 进行 RSA 加密

@npe 当然，这只能防篡改

jwt 本身就可以防篡改好吧。

jwt 需要防的是被盗用，一般所谓的把 jwt 再包一层这种做法很多是又造了一个类似 https 的东西出来。

小厂为啥就不能用 https，想要解决 http 的中间人攻击自行解决的难度只会更高

由于无法主动让某个 jwt 字符串失效，因此只要能抓到包，就能伪造请求，所以老老实实上 https 吧

上 https 有啥难度吗

上 https 有啥难度吗

Let's Encrypt 有什么不好

我一个个人博客都上了 https 了你跟我说一家公司上不了 https ？

以小厂为理由不上 https 的建议开除这帮技术人员

https 在 2019 年应该是必须有的。

Let's Encrypt，TrustAsia，选择很多。

除非你是客户端应用，不然做不到防监听。

http 毫无安全性可言,登入裸奔,且暴露密码

这一类实现单点登录的用户管理的云服务已经很多了，为什么还要自行开发呢？
比如楼上说的国内的 Authing，还有美国的 Auth0 和 AWS Cognito 都行的（国内由于政策原因用不了）。
用了以后就回不去了，再也无需开发、运维用户系统……