서명을 검증하지 않았습니다. 디코딩된 클레임을 신뢰하지 마세요.
JWT(JSON Web Token)는 인증에 사용되는 컴팩트한 토큰 형식입니다. 점으로 구분된 세 개의 Base64URL 인코딩 부분이 있습니다: 헤더(알고리즘과 타입), 페이로드(사용자 ID, 만료 등의 클레임), 서명(토큰이 변조되지 않았다는 암호학적 증명).
처리는 브라우저에서 실행됩니다. 저장과 공유는 선택 사항이며 계정이 필요하고 선택한 콘텐츠를 서비스로 전송합니다.
HS256은 공유 시크릿 키(대칭)를 사용합니다 — 생성자와 검증자 모두 같은 시크릿이 필요합니다. RS256은 공개키/개인키 쌍(비대칭)을 사용합니다 — 생성자는 개인키로 서명하고 누구나 공개키로 검증할 수 있습니다. 공개 API에는 RS256을 사용하세요.
숫자 exp 클레임을 현재 시각과 비교합니다. 검증되지 않은 만료 정보는 토큰의 진위를 증명하지 않습니다. 디코딩만으로는 서명이 검증되지 않습니다.
HMAC HS256, HS384, HS512로 서명합니다. 디코딩은 서명을 검증하지 않습니다.
JWT 페이로드는 암호화가 아닌 Base64 인코딩이 되어 있어 토큰을 가진 누구나 내용을 디코딩하여 읽을 수 있습니다. JWT에는 민감하지 않은 식별자(사용자 ID, 역할, 만료)만 저장하세요. 민감한 데이터는 서버 측에 보관하고 ID로 참조하세요.