[Server] JWT란?

JWT란? 

Json Web Token의 준말로, 그대로 해석하면 Json형식으로된 웹 토큰이라는 말이다. 정보를 비밀리에 전달하거나 인증할 때 주로 사용한다.

일반적으로 클라이언트와 서버 사이에서 통신할 때 권한을 위해 사용하는 토큰이다. 

JWT는 토큰 자체에 정보를 담는 Self-Contained 형식을 사용한다. Json형태로 주고받기 위해서 표준 규약에 따라 생성한 암호화된 토큰으로 복잡하고 읽을 수 없는 String 형태로 저장되어 있다. 

 

JWT의 구성요소

JWT는 헤더(header), 페이로드(paylod), 서명(signature) 세 파트로 나눠져 있으며 아래와 같은 형태로 구성되어 있다. JSON 형태인 각 부분은 Base64Url로 인코딩 되어 표현된다.

*Base64Url은 암호화된 문자열이 아니라 같은 문자열에 대해 항상 같은 인코딩 문자열을 반환한다. 

헤더(Header)

토큰의 헤더는 두가지 정보로 구성된다. alg는 헤더를 암호화하는 것이 아닌, Signature를 해싱하기 위한 알고리즘을 지정하는 것.

{ 
   "alg": "HS256",
   "typ": JWT
 }

typ: 토큰의 타입을 지정해준다.(ex. JWT)

alg: 알고리즘 방식을 지정해주고, 서명 및 토큰 검증에 사용된다.

 

페이로드(Payload)

토큰에서 사용할 정보의 조각들인 클레임(Claim)이 담겨있다. 전달하려는 정보(사용자 id라던가 다른 데이터들..=클레임)

payload의 내용은 "수정"이 가능하여 더 많은 정보를 추가할 수 있다. 하지만, 노출과 수정이 가능한 지점이기 때문에 인증에 필요한 최소한의 정보(ex. 토큰의 권한의 범위, 토큰의 발급일이나 만료일)만 담아야한다.

 

서명(Signature)

가장 중요한 부분으로 헤더와 정보를 합친 후 발급해준 서버가 지정한 시크릿 키로 암호화시켜 토큰을 "변조"하기 어렵게 만들어준다. 토큰을 인코딩하거나 유효성 검증을 할 때 사용하는 고유한 암호화 코드이다. 서명은 위에서 만든 헤더와 페이로드의 값을 각각 Base64Url로 인코딩하고, 인코딩한 비밀 키를 이용에 헤더에서 정의한 알고리즘으로 해싱을 하고, 이 값을 다시 Base64Url로 인코딩하여 생성한다.

 

JWT의 단점

Self-contained: 토큰 자체에 정보를 담고 있으므로 양날의 검이 될 수 있다.

토큰 길이: 페이로드에 3종류의 클레임을 저장하기 때문에 정보가 많아질수록 토큰의 길이가 늘어나서 네트워크에 부하를 줄 수 있다.

Stateless: JWT는 상태를 저장하지 않기 때문에 한 번 만들어지면 제어가 불가능하다. 토큰을 임의로 삭제하는 것이 불가능하므로 토큰 만료 시간을 꼭 넣어주어야 한다.

Store Token: 클라이언트 측에서 토큰을 저장해야한다.