JWT (JSON Web Token)란? 쉽게 이해하기

웹 애플리케이션을 개발하다 보면, 로그인한 사용자의 정보를 유지해야 할 때가 많다.

과거에는 세션(session)을 사용했지만, 최근에는 JWT (JSON Web Token)이 널리 사용되고 있다.

그렇다면 JWT가 무엇이고, 어떻게 동작하는지 정리해보자.

---

1. JWT란 무엇인가?

JWT(JSON Web Token)는 사용자의 인증 정보를 안전하게 전송하기 위한 토큰 기반 인증 방식이다.
쉽게 말해, 로그인하면 사용자의 정보를 암호화된 토큰 형태로 발급하여 클라이언트가 저장하고,

이후 요청할 때마다 토큰을 보내 인증을 처리하는 방식이다.

• ✅ JWT는 자체적으로 사용자 정보를 포함하기 때문에, 별도의 세션 저장소가 필요 없음
• ✅ RESTful API와 잘 맞는 인증 방식 → 서버가 사용자의 상태를 유지하지 않아도 됨 (Stateless)
• ✅ 토큰을 이용한 인증 방식으로, 다양한 서비스(모바일, 웹, API 서버)에서 사용 가능

---

2. JWT의 구조

JWT는 세 부분으로 구성된다.

헤더(Header).페이로드(Payload).서명(Sigature)

 

예를 들어, 아래와 같은 JWT가 있다고 해보자.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkppbiIsImlhdCI6MTUxNjIzOTAyMn0. SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

이제 각각의 부분을 자세히 살펴보자.

① Header (헤더)

JWT의 타입과 서명 알고리즘을 정의하는 부분이다.

{
  "alg": "HS256",  // HMAC SHA256 알고리즘 사용
  "typ": "JWT"
}

위 정보를 Base64 URL 인코딩하면 JWT의 첫 번째 부분이 된다.

② Payload (페이로드, 사용자 정보)

페이로드에는 사용자의 정보(클레임, Claims)가 포함된다.

{
   "sub": "1234567890", // 사용자 ID
   "name": "Jin", // 사용자 이름
   "iat": 1516239022 // 토큰 발급 시간 (Unix Timestamp)
}

이 정보 역시 Base64 URL 인코딩되어 JWT의 두 번째 부분이 된다.

③ Signature (서명, 보안 요소)

서명은 JWT의 위변조를 방지하기 위한 값으로, 비밀 키를 사용하여 생성된다.

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload), 
  secret
)

즉, 서명이 일치하는지 검증하면 토큰이 변조되지 않았다는 걸 확인할 수 있다.

---

3. JWT는 어떻게 사용될까?

(1) 로그인 시 JWT 발급

1. 사용자가 로그인하면 서버는 ID, 비밀번호를 검증한다.
2. 검증이 완료되면 JWT를 생성하여 클라이언트에게 전달한다.
3. 클라이언트는 JWT를 localStorage, sessionStorage, 또는 HttpOnly Cookie에 저장한다.

📌 예제 (Spring Boot에서 JWT 발급)

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request) {
    Authentication authentication = authenticationManager.authenticate(
        new UsernamePasswordAuthenticationToken(request.getUsername(), request.getPassword())
    );

    String token = jwtTokenProvider.generateToken(authentication);
    
    return ResponseEntity.ok(new JwtResponse(token));
}

---

(2) API 요청 시 JWT 인증

이후 클라이언트가 서버에 API 요청을 보낼 때,
Authorization: Bearer <JWT> 헤더를 포함하여 보낸다.

 

📌 예제 (JWT 포함 요청)

GET /user/profile Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR...

서버에서는 토큰을 검증한 후, 사용자 정보를 확인하여 요청을 처리한다.

 

📌 예제 (Spring Boot에서 JWT 검증)

public String getUsernameFromToken(String token) {
    Claims claims = Jwts.parser()
        .setSigningKey(secretKey)
        .parseClaimsJws(token)
        .getBody();
    
    return claims.getSubject(); // username 반환
}

---

4. JWT의 장점과 단점

✅ JWT의 장점

✔ Stateless (무상태성) → 서버가 사용자의 로그인 상태를 저장할 필요 없음
✔ 확장성 → 여러 서버에서 인증을 공유할 수 있음
✔ 빠른 인증 → 데이터베이스 조회 없이 토큰만으로 인증 가능

❌ JWT의 단점

❗ 토큰 탈취 시 보안 위험 → 탈취된 JWT는 만료될 때까지 악용 가능
❗ 토큰 크기가 큼 → 매 요청마다 포함해야 하므로 트래픽 증가 가능
❗ 세션 무효화 어려움 → 로그아웃 시 기존 JWT를 강제로 폐기하는 것이 어려움

---

5. JWT를 안전하게 사용하려면?

JWT는 강력한 인증 방식이지만, 보안을 위해 몇 가지 주의해야 한다.
✅ HTTPS 사용 → 네트워크에서 JWT가 노출되지 않도록 한다.
✅ HttpOnly Cookie 사용 → localStorage보다는 보안성이 높은 쿠키 사용
✅ 짧은 만료 시간 설정 → 토큰 유효 시간을 짧게 설정하고, 리프레시 토큰 활용
✅ 서명 검증 필수 → 모든 요청에서 JWT의 위변조 여부를 검증해야 한다.

---

6. 정리

✅ JWT는 인증 정보를 포함하는 토큰 기반 인증 방식이다.
✅ Header.Payload.Signature 3부분으로 구성된다.
✅ 로그인 시 JWT를 발급하고, 이후 API 요청 시 인증에 사용된다.
✅ 세션을 저장할 필요가 없어 RESTful API와 궁합이 좋다.
✅ 하지만, 보안 취약점이 있을 수 있어 HTTPS, 쿠키 저장, 만료 시간 설정이 중요하다.

JWT를 잘 활용하면 RESTful API에서 인증을 효과적으로 구현할 수 있다! 🚀