JWT를 디코딩하는 방법
- 토큰을 붙여넣으세요(앞에 붙은
Bearer는 자동으로 제거됩니다). - 디코딩된 헤더와 페이로드를 보기 좋게 정리된 JSON으로 확인하고, 클레임 표에서 만료 시각과 발급 시각을 살펴보세요.
- 필요하면 서명 검증을 열고 HMAC 시크릿 키 또는 PEM 형식의 공개 키를 입력하세요.
JWT의 구조
JSON 웹 토큰은 점으로 구분된 세 개의 Base64URL 인코딩 부분으로 이루어집니다: header.payload.signature. 헤더에는 서명 알고리즘(예: HS256, RS256)이, 페이로드에는 클레임이 담기며, 서명은 앞의 두 부분이 변경되지 않았음을 증명합니다.
등록된 클레임
iss– 토큰 발급자sub– 사용자 또는 주체aud– 토큰을 사용할 대상exp,nbf,iat– 만료 시각, 유효 시작 시각, 발급 시각(Unix 타임스탬프)jti– 고유한 토큰 ID
자주 묻는 질문
여기에 토큰을 붙여넣어도 안전한가요?
토큰은 브라우저에서 디코딩되며 어디로도 전송되지 않습니다. 그래도 실제 사용 중인 토큰은 비밀번호처럼 다루고 다른 사람과 공유하지 마세요.
JWT의 페이로드는 누구나 읽을 수 있나요?
네. 서명된 JWT는 Base64URL로 인코딩되었을 뿐 암호화된 것이 아니므로 페이로드에 비밀 정보를 넣어서는 안 됩니다. 내용을 숨길 수 있는 것은 암호화된 토큰(JWE)뿐입니다.
서명은 왜 자동으로 검증되지 않나요?
서명을 검증하려면 발급자의 시크릿 키나 공개 키가 필요합니다. 서명 검증 항목에 키를 입력하세요. HS, RS, PS, ES 알고리즘을 지원합니다.