JWT토큰 정리🎫

JWT토큰이란?

JWT(JSON Web Token)은 웹 표준으로서, 정보를 안전하게 전달하기 위한 구조를 정의한 토큰이다. 주로 인증과 인가를 거쳐 정보 교환을 위해 사용되며, 특히 클라이언트와 서버 간의 인증/인가를 간편하게 처리하기 위한 목적으로 널리 사용된다.

JWT의 기본 구조로는 Header, Payload, Verify signature가 있는데. 다음 사진을 보면 이해가 빠르다.
헤더에는 토큰의 타입과 사용하는 해싱 알고리즘이 들어가 있다.
페이로드에는 데이터가 들어가 있는데 각 데이터를 Claim이라고 한다.
인증 서명에는 헤더와 데이터 무결성과 변조 방지를 위한 서명이 들어가있어서 헤더와 페이로드를 합친 후 시크릿 키 헤더의 해싱 알고리즘으로 인코딩한다.

JWT의 인증과정은 다음과 같다.

그렇다면 쿠키와 세션이 있는데 Web Token이 왜 필요한가?

토큰 기반의 인증은 세션과 쿠키 기반의 인증 방식에 비해 다양한 장점을 가지고 있고, 다양한 클라이언트 환경에서 동일한 토큰을 사용할 수 있어 편리하다. 장점으로는 다음과 같다.

• 상태 저장 필요 없음(Stateless): 웹 토큰은 클라이언트 측에 저장되며 서버 측에 상태를 저장하지 않는다. 이로써 서버는 사용자 상태를 저장하고 관리하는 복잡한 작업 없이 간편하게 구현이 가능하다.
• 서버 확장성과 분산 시스템: 세션을 사용하는 경우 서버가 사용자 상태를 관리하므로 서버 확장이 어려울 수 있다. 반면 웹 토큰은 클라이언트 측에서 상태를 관리하므로 여러 서버 간에 토큰을 공유하거나 동기화할 필요가 없어 서버 확장성이 좋다.
• 다양한 클라이언트 지원: 웹 토큰은 웹 브라우저뿐만 아니라 모바일 앱, 데스크톱 앱 등에서도 동일한 토큰을 사용하여 인증 및 권한 부여를 관리할 수 있다.
• CORS 문제 해결: 웹 토큰은 토큰을 헤더에 포함하여 요청을 보내므로, 보다 유연한 CORS 설정이 가능해 다양한 도메인에서도 동일한 토큰을 사용하여 API 호출을 수행할 수 있다.
• 보안 강화: 웹 토큰은 토큰 자체가 암호화되거나 서명되어 데이터 안정성과 보안성을 강화할 수 있다. JWT(JSON Web Token) 같은 표준을 사용하여 토큰을 생성하고 검증할 수 있다. (사실 base64 디코딩으로 해석이 가능한데 이게 맞나 싶다.)
• 클라이언트 측 처리 감소: 세션을 사용하는 경우, 각 요청마다 서버에서 세션 정보를 확인해야 한다. 하지만 웹 토큰을 사용하면 클라이언트 측에서 토큰을 관리하고 요청에 포함시켜 보내므로 서버 요청의 부담이 줄어든다.(Preflight -> 토큰 권환 확인 및 실제 요청)

웹 토큰은 좋기만 한가?

웹 토큰은 많은 장점을 가지지만, 다음과 같이 몇 가지 단점도 가지고 있다.

• 토큰 크기와 보안 취약성: 웹 토큰은 클라이언트와 서버 간에 주고받는 정보이기 때문에 토큰의 크기가 크면 네트워크 비용이 증가할 수 있다. 또한, 토큰이 클라이언트 측에 저장되므로 보안에 취약할 수 있으며, 클라이언트 측에서 토큰을 탈취당하면 효과적인 보안 조치 없이 노출될 수 있다.
• 중앙 관리의 어려움: 세션과 달리 토큰은 클라이언트와 서버 간에 주고받는 것이므로, 클라이언트 측에서 토큰을 관리하고 보안을 강화해야 한다. 이로 인해 중앙 집중식 세션 관리와 비교했을 때 더 복잡해질 수 있다. 토큰은 무상태성이므로 토큰에 꼭 만료시간을 넣어두는게 좋다.

Reference

• https://sanghaklee.tistory.com/47