JWT 디코더

JWT(JSON Web Token)란 무엇인가?

JSON Web Token(JWT)은 RFC 7519에 정의된 간결하고 URL 안전한 토큰 형식입니다. 클레임 집합을 JSON 객체로 인코딩한 후 서명하고 — 선택적으로 암호화하여 — 수신자가 데이터가 변조되지 않았음을 검증할 수 있도록 합니다. JWT는 REST API, 싱글 사인온 시스템, 마이크로서비스 인가에서 무상태 인증의 사실상 표준입니다.

JWT 구조: Header · Payload · Signature

모든 JWT는 점으로 구분된 세 개의 base64url 인코딩 세그먼트로 구성됩니다. Header와 Payload는 누구나 읽을 수 있는 일반 JSON이며, Signature는 올바른 키로만 검증할 수 있는 암호화 값입니다.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

JWT 디코더를 사용하는 이유

원시 JWT는 무작위 텍스트처럼 보입니다. 이 도구는 Header와 Payload를 즉시 포맷된 JSON으로 렌더링하여 코드 한 줄 없이 클레임을 검사하고, 만료 시간을 확인하며, 알고리즘 선택을 감사할 수 있습니다.

표준 JWT 클레임 참조

RFC 7519는 7개의 등록된 클레임 이름을 정의합니다. 이는 필수가 아니지만 상호 운용성을 위해 강력히 권장됩니다. Payload에 임의의 커스텀 클레임을 추가할 수 있습니다.

JWT 서명 알고리즘

Header 클레임 alg는 토큰에 서명한 알고리즘을 선언합니다. 선택은 보안, 성능, 그리고 서드파티 서비스가 개인 키 없이 토큰을 검증할 수 있는지에 영향을 미칩니다.

보안 고려 사항

JWT 디코딩은 항상 안전합니다. 적절한 서명 검증 없이 JWT를 신뢰하는 것은 안전하지 않습니다. 애플리케이션에서 토큰을 사용할 때마다 이 규칙을 명심하십시오.

일반적인 사용 사례

코드에서 JWT 디코딩

Header와 Payload는 base64url 인코딩되어 있습니다 — 인코딩을 역으로 돌리기만 하면 됩니다. base64url은 +를 -로, /를 _로 대체하고 = 패딩을 생략합니다. Signature만 비밀 키가 필요합니다.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

자주 묻는 질문