JWT 디코더 & 디버거

JWT 예제 페이로드

아래 예제를 클릭하면 디코더에 자동으로 로드되어 다양한 JWT 토큰의 구조를 확인할 수 있습니다. 각 예제는 특정 사용 사례나 보안 시나리오를 보여줍니다.

모든 예제 토큰은 HS256으로 서명되었습니다. 서명 검증 섹션에서 비밀키 toolmodoom을 입력하면 서명 검증을 테스트할 수 있습니다.

JWT란 무엇인가?

JSON Web Token(JWT)은 RFC 7519에 정의된 간결하고 URL에 안전한 토큰 형식입니다. JWT는 웹 애플리케이션, API, 마이크로서비스에서 인증과 인가에 널리 사용됩니다. 웹사이트에 로그인하면 서버가 JWT를 발급하고, 브라우저가 이후 모든 요청에 이 토큰을 보내 신원을 증명합니다.

전통적인 세션 기반 인증과 달리 JWT는 자기 완결적입니다 — 토큰을 검증하는 데 필요한 모든 정보가 토큰 자체에 인코딩되어 있습니다. 이로 인해 무상태 아키텍처와 분산 시스템에 이상적입니다.

JWT 구조 (Header, Payload, Signature)

JWT는 점(.)으로 구분된 세 부분으로 구성됩니다:

1. Header — 토큰 타입(typ: JWT)과 서명 알고리즘(alg: HS256, RS256 등)을 포함합니다.
2. Payload — 클레임(사용자 정보와 메타데이터)을 포함합니다. exp(만료), iss(발급자), sub(주체) 등 등록 클레임과 커스텀 데이터가 있습니다.
3. Signature — 인코딩된 Header와 Payload를 비밀키(HS256) 또는 개인키(RS256/ES256)로 서명하여 생성합니다. 서명은 토큰이 변조되지 않았음을 보장합니다.

각 부분은 Base64URL로 인코딩되어 URL에 안전하고 HTTP 헤더, 쿠키, URL 파라미터로 전송할 수 있을 만큼 간결합니다.

JWT 알고리즘 비교

JWT는 다양한 서명 알고리즘을 지원합니다. 아키텍처, 보안 요구사항, 키 관리 환경에 따라 적합한 알고리즘을 선택해야 합니다.

권장: 프로덕션 시스템에서는 RS256 또는 ES256을 사용하세요. HS256은 서명과 검증이 동일 서버에서 이루어지는 경우에만 사용하세요. none은 프로덕션에서 절대 사용하지 마세요.

주요 JWT 클레임

JWT 사양은 7개의 등록 클레임을 정의합니다:

💡 고유한 jti 값이 필요하신가요? UUID 생성기를 사용하세요 — JWT ID에는 UUID v4(랜덤)가 권장됩니다. 생성 시간 노출 없이 충돌 없는 고유성을 제공합니다.

주요 공개 클레임 (OAuth2 / OpenID Connect)

등록 클레임 외에도 OAuth2와 OIDC 토큰에서 널리 사용되는 공개 클레임입니다:

JWT vs 세션/쿠키

인증 시스템을 구축할 때 JWT 기반과 세션 기반 중 어떤 방식을 선택할지 결정해야 합니다. 각 방식은 아키텍처에 따라 서로 다른 장단점이 있습니다:

어느 방식이 절대적으로 좋다고 할 수 없습니다. JWT는 여러 서비스가 중앙 세션 스토어 없이 신원을 검증해야 하는 분산/무상태 아키텍처에 적합합니다. 세션은 즉시 무효화가 중요한 전통적 서버 렌더링 애플리케이션에서 더 간단하고 안전합니다.

자주 발생하는 JWT 오류와 해결 방법

JWT를 사용하면서 자주 마주치는 에러 메시지들입니다. 위 도구에 토큰을 붙여넣어 Header와 Payload를 확인하면 디버깅에 도움이 됩니다.

JWT 보안 모범사례

• 항상 만료 시간(exp)을 설정하세요 — 만료가 없는 토큰은 영원히 유효합니다.
• alg: "none"을 절대 사용하지 마세요 — 서명 검증이 비활성화되어 누구나 토큰을 위조할 수 있습니다.
• Payload에 민감한 데이터를 저장하지 마세요 — JWT는 인코딩되었을 뿐 암호화되지 않습니다.
• 강력한 서명 알고리즘을 사용하세요 — 프로덕션에서는 HS256보다 RS256이나 ES256을 권장합니다.
• 토큰 수명을 짧게 유지하세요 — 장기 세션에는 리프레시 토큰을 사용하세요.
• iss와 aud 클레임을 검증하세요 — 토큰이 올바른 발급자로부터 왔고 올바른 대상을 위한 것인지 확인하세요.

다양한 프레임워크에서의 JWT

주요 프로그래밍 언어별 가장 인기 있는 JWT 라이브러리와 설치 명령어입니다:

이 모든 라이브러리는 토큰 생성, 서명, 검증, 클레임 유효성 검사를 지원합니다. 검증 없이 디코딩(토큰 내용 확인)하려면 대부분 서명 검사를 건너뛰는 decode 메서드도 제공합니다 — 이 도구가 브라우저에서 하는 것과 유사합니다.

사용 방법

1. 위 입력창에 JWT 토큰을 붙여넣거나, 샘플 입력을 클릭하여 데모 토큰을 시도하세요.
2. 도구가 즉시 Header와 Payload를 구문 하이라이팅하여 디코딩합니다.
3. 시간 기반 클레임(exp, iat, nbf)이 선택한 타임존의 읽을 수 있는 날짜로 자동 변환됩니다.
4. 보안 문제가 감지되면 경고가 표시됩니다 (예: alg: none, 만료 미설정, 민감 데이터).
5. → JSON 포맷터를 클릭하면 디코딩된 Payload를 JSON Formatter 도구에서 자세히 확인할 수 있습니다.
6. 선택적으로 비밀키를 입력하고 서명 검증을 클릭하여 서명의 유효성을 확인할 수 있습니다.

기능

개인정보 보호

JWT 토큰은 JavaScript를 사용하여 브라우저에서 완전히 처리됩니다. 어떤 서버로도 전송되지 않습니다. 모든 디코딩, 클레임 분석, 보안 검사, 서명 검증이 로컬에서 이루어집니다. 브라우저 개발자 도구의 네트워크 탭을 열어 토큰 데이터로 요청이 전송되지 않는 것을 직접 확인할 수 있습니다. 이 도구는 프로덕션 토큰과 민감한 자격 증명에 안전하게 사용할 수 있습니다.