JWT 토큰을 디코딩하고 검사하는 방법

JSON Web Token(JWT)은 최신 웹 응용 프로그램에서 인증을 처리하는 가장 일반적인 방법입니다. 인증 측에서 무언가가 잘못되면 — 사용자가 이유 없이 로그아웃되거나, 권한이 잘못되거나, API가 401을 반환하면 — JWT를 디코딩하는 것이 종종 첫 번째 디버깅 단계입니다.

JWT에 포함된 내용

JWT에는 점으로 구분된 세 부분이 있습니다:

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U

헤더 — 알고리즘(HS256, RS256 등)과 토큰 유형을 포함합니다.

{"alg": "HS256", "typ": "JWT"}

페이로드 — 사용자와 토큰에 대한 클레임(주장)을 포함합니다.

{"sub": "1234567890", "name": "Alice", "exp": 1700000000}

서명 — 토큰이 변경되지 않았음을 보장하는 암호학적 지문. 서명 키 없이는 읽을 수 없습니다.

일반적인 JWT 클레임

JWT를 디코딩하는 방법

1. 토큰 붙여넣기 — 디코더에 전체 JWT(header.payload.signature 형식)를 입력하세요.
2. 디코딩된 섹션 확인 — 도구가 헤더(알고리즘), 페이로드(클레임) 및 서명을 포맷된 JSON으로 표시합니다.
3. 클레임 검토 — 만료 날짜, 발급자, 주제 및 사용자 정의 클레임을 검사하세요.

JWT로 디버깅

토큰이 만료되었습니까? exp 클레임을 확인하세요. Unix 타임스탬프를 사람이 읽을 수 있는 날짜로 변환하세요. 지나갔다면 토큰이 만료되어 새로 고쳐야 합니다.

잘못된 권한? 페이로드에서 역할 또는 범위 클레임을 찾으세요. 구현에 따라 다르지만 종종 "role": "admin" 또는 "scope": "read write"처럼 보입니다.

사용자 ID 문제? sub 클레임은 사용자를 식별합니다. 예상 ID와 일치하는지 확인하세요.

토큰 거부됨? aud(audience) 클레임을 확인하세요. API가 특정 audience를 기대하는데 토큰이 다른 것을 가지고 있다면 거부됩니다.

중요한 보안 참고 사항

• JWT는 암호화되지 않습니다 — 누구나 페이로드를 디코딩할 수 있습니다. 비밀번호, API 키 또는 기타 비밀을 JWT에 넣지 마세요.
• 항상 서버 측에서 서명 확인 — 디코더는 토큰이 주장하는 것을 보여주지만, 서명 확인만이 변경되지 않았음을 증명합니다.
• 만료 확인 — 만료된 토큰은 항상 거부되어야 합니다. 응용 프로그램이 만료된 토큰을 받아들인다면 보안 결함입니다.