JWT 토큰의 구조와 활용 방법

F-Lab : 상위 1% 개발자들의 멘토링

2024-06-03

AI가 제공하는 얕고 넓은 지식을 위한 짤막한 글입니다!

JWT 토큰의 개요

JWT(JSON Web Token)는 웹 표준(RFC 7519)으로, 주로 사용자 인증 및 정보 교환에 사용됩니다. JWT는 세 부분으로 구성되며, 각각 헤더, 페이로드, 시그니처로 나뉩니다.

헤더는 토큰의 유형과 서명 알고리즘을 포함합니다. 페이로드는 사용자 정보와 같은 클레임을 포함하며, 시그니처는 토큰의 무결성을 보장합니다.

JWT는 주로 OAuth와 같은 인증 시스템에서 사용되며, 클라이언트와 서버 간의 안전한 정보 교환을 가능하게 합니다.

왜냐하면 JWT는 자체적으로 정보를 포함하고 있어 서버의 상태를 유지할 필요가 없기 때문입니다.

이 글에서는 JWT의 구조와 각 부분의 역할, 그리고 실제 사용 예제를 통해 JWT의 활용 방법을 알아보겠습니다.

JWT의 구조

JWT는 세 부분으로 나뉩니다: 헤더, 페이로드, 시그니처. 각 부분은 점(.)으로 구분됩니다.

헤더는 토큰의 유형과 서명 알고리즘을 포함합니다. 예를 들어, {"alg": "HS256", "typ": "JWT"}와 같은 JSON 객체로 구성됩니다.

페이로드는 사용자 정보와 같은 클레임을 포함합니다. 예를 들어, {"sub": "1234567890", "name": "John Doe", "iat": 1516239022}와 같은 JSON 객체로 구성됩니다.

시그니처는 헤더와 페이로드를 인코딩한 후, 시크릿 키를 사용하여 생성됩니다. 이는 토큰의 무결성을 보장합니다.

왜냐하면 시그니처는 헤더와 페이로드의 변조를 방지하기 위해 사용되기 때문입니다.

JWT의 발급과 검증

JWT는 주로 서버에서 발급되며, 클라이언트는 이를 저장하고 요청 시마다 서버에 전달합니다.

JWT 발급 과정은 다음과 같습니다: 헤더와 페이로드를 JSON으로 만들고, 이를 Base64 URL로 인코딩합니다. 그런 다음 시크릿 키와 결합하여 시그니처를 생성합니다.

서버는 클라이언트로부터 받은 JWT를 검증합니다. 헤더와 페이로드를 디코딩하고, 시그니처를 확인하여 토큰의 무결성을 검증합니다.

왜냐하면 시그니처가 유효하지 않으면 토큰이 변조되었을 가능성이 있기 때문입니다.

JWT는 만료 시간이 포함될 수 있으며, 만료된 토큰은 재발급 받아야 합니다.

JWT의 보안 고려사항

JWT는 민감한 정보를 포함해서는 안 됩니다. 왜냐하면 페이로드는 Base64 URL로 인코딩되지만 암호화되지 않기 때문입니다.

시크릿 키는 안전하게 관리되어야 하며, 주기적으로 변경하는 것이 좋습니다. 시크릿 키가 유출되면 모든 JWT가 무효화될 수 있습니다.

탈취된 JWT는 비정상적인 로그인 시도나 요청 실패가 잦아질 때 의심할 수 있습니다. 새로운 기기나 IP 주소에서의 로그인 시도도 탈취를 의심할 수 있습니다.

왜냐하면 이러한 상황은 정상적인 사용 패턴과 다르기 때문입니다.

탈취된 JWT는 즉시 무효화하고, 새로운 JWT를 발급해야 합니다.

JWT의 실제 사용 예제

다음은 JWT를 발급하고 검증하는 간단한 예제입니다:

const jwt = require('jsonwebtoken');

// JWT 발급
const token = jwt.sign({ userId: 123 }, 'your-256-bit-secret', { expiresIn: '1h' });
console.log(token);

// JWT 검증
try {
    const decoded = jwt.verify(token, 'your-256-bit-secret');
    console.log(decoded);
} catch (err) {
    console.error('Invalid token');
}

위 예제에서는 jsonwebtoken 라이브러리를 사용하여 JWT를 발급하고 검증합니다. 'your-256-bit-secret'은 시크릿 키로, 실제 환경에서는 안전하게 관리해야 합니다.

왜냐하면 시크릿 키가 유출되면 모든 JWT가 무효화될 수 있기 때문입니다.

JWT는 다양한 언어와 프레임워크에서 지원되며, 이를 활용하여 안전한 인증 시스템을 구축할 수 있습니다.