JWT 가이드
JWT란 무엇인가요? (JWT란?)
JWT(JSON Web Token)는 통신 양자 간에 정보를 안전하게 JSON 객체로 전송하기 위해 고안된 개방형 표준(RFC 7519)입니다. 정보가 디지털 서명되어 있으므로 무결성이 보장되며, 주로 API의 인가(Authorization) 처리나 클라이언트 세션 정보를 유지하는 용도로 널리 사용됩니다.
JWT Structure (구조)
JWT는 점(.)으로 구분된 세 가지 부분으로 구성됩니다: Header.Payload.Signature
Header (헤더)
일반적으로 서명에 사용된 암호화 알고리즘(alg: HS256, RS256 등)과 토큰의 타입(typ: JWT)을 지정하는 JSON 객체입니다.
Payload (페이로드)
토큰에 담길 실제 데이터(Claim)들이 들어있는 JSON 객체입니다. 사용자 정보, 만료 시간 등의 비즈니스 로직에 필요한 상태를 담습니다.
Signature (서명)
Header와 Payload의 데이터가 전송 도중 위변조되지 않았는지 검증하기 위한 암호화된 서명(해시) 값입니다.
JWT Decode vs Verify (디코드 vs 서명 검증)
Decode (디코드): Base64URL로 인코딩되어 있는 문자열을 단순히 사람이 읽을 수 있는 JSON 객체로 다시 변환하는 작업입니다. 누구나 수행할 수 있습니다. (본 도구의 역할)
Verify (검증): 디코드된 내용을 신뢰할 수 있는지 서버가 가진 비밀 키(Secret)나 공개 키(Public Key)를 통해 수학적으로 증명하는 작업입니다.본 도구는 단순 Decode만 수행하며, JWT가 실제로 유효한지(조작되지 않았는지) 검증하지 않습니다!
JWT Standard Claims (표준 클레임)
Payload에 들어가는 데이터 중, JWT 표준 규약에 의해 미리 이름이 정의된(Registered) 필드들입니다.
iss(Issuer): 토큰 발급자sub(Subject): 토큰 제목 (주로 유저 식별자 고유 ID 등)aud(Audience): 토큰 대상자exp(Expiration Time): 토큰 만료 시간 (Unix Timestamp 단위)nbf(Not Before): 토큰 활성 시간 (이 시간 이전에는 토큰이 유효하지 않음)iat(Issued At): 토큰이 발급된 시간 (Unix Timestamp 단위)jti(JWT ID): JWT의 고유 식별자
자주 묻는 질문 (FAQ)
JWT란 무엇인가요?
JWT(JSON Web Token)는 클라이언트와 서버 간에 정보를 JSON 객체로 안전하게 전송하기 위한 웹 표준 기술로, 인증(Authentication)에 주로 사용됩니다.
JWT는 어떻게 구성되어 있나요?
점(.)을 구분자로 하여 Header(헤더), Payload(페이로드/Claims), Signature(서명)의 3가지 부분으로 구성되어 있습니다.
JWT Header와 Payload를 어떻게 확인하나요?
JWT 디코더 창에 토큰을 입력하면 Base64Url로 인코딩된 Header와 Payload를 자동으로 디코딩하여 보기 쉬운 JSON 형태로 보여줍니다.
JWT 디코딩과 JWT 검증은 다른가요?
네, 다릅니다. 이 도구에서 제공하는 JWT 디코딩은 토큰의 내용을 텍스트로 확인하는 것이며, 서명(Signature)의 유효성을 서버 키로 검증하는 작업과는 다릅니다.
JWT 토큰을 입력하면 서버에 저장되나요?
절대 저장되지 않습니다. 민감한 정보가 담긴 JWT 토큰은 100% 브라우저 메모리 상에서만 디코딩되며 외부로 유출되지 않습니다.