• 목차

JWT(JSON Web Token) 이란?

• 전자 서명된 URL-safe(URL에 포함할 수 문자만 구성된)의 JSON (RFC7519 표준)
• JSON 포맷을 이용해 인증 정보와 같은 사용자에 대한 정보를 저장하는 Claim 기반의 Web Token
• 서버와 클라이언트 간 정보를 주고 받을 때 HTTP Request Header에 JWT을 넣은 후 서버는 별도의 인증 과정 없이 헤더에 포함되어 있는 JWT 정보를 통해 인증 및 인가 과정을 수행한다.

JWS(JSON Web Signature)

• JSON 데이터 구조를 사용하는 서명 표준으로 RFC7515이며, JSON으로 전자 서명을 하여 URL-Safe 문자열로 표현한 것

JWE(JSON Web Encryption)

• JSON 데이터 구조를 사용하는 암호화 방법으로 RFC7516이며, JSON을 암호화하여 URL-safe 문자열로 표현한 것

JWT Structure

• JWT는 dot(.)을 구분자로 3파트로 구분되어 있다.

• Header(헤더)

  • 토큰 타입과 해시 암호화 알고리즘으로 구성

  • Header는 typ와 alg 두 정보로 구성되는데, alg는 Signature를 해싱하기 위한 알고리즘 의미

    • typ : 토큰의 타입 지정 EX) JWT
    • alg : 알고리즘 방식을 지정하며, Signature와 토큰 검증에 사용

    {
    	"alg": "HS256",
    	"typ": JWT
    }
    

• Payload(정보)

  • 토큰에 담을 Claim 정보를 포함
  • Payload에 담는 정보의 한 조각을 Claim이라 부르고 이는 Key/Value Pair로 이루어져 있다.
  • Claim은 Registered Claim, Public Claim, Private Claim 세 종류가 있다.

    • Registered Claim: 토큰 정보를 표현하기 위해 정해진 종류의 데이터들

      • iss: 토큰 발급자(issuer)
      • sub: 토큰 제목(subject)
      • aud: 토큰 대상자(audience)
      • exp: 토큰 만료 시간(expiration), NumericData 형식
      • nbf: 토큰 활성일(not before), 이 날이 지나기 전의 토큰은 활성화 안됌
      • iat: 토큰 발급 시간(issued at), 토큰 발급 이후의 경과 시간을 알 수 있음
      • jti: JWT 토큰 식별자(JWT ID), 중복 방지를 위해 사용하며 일회용 토큰(Access Token)등에 사용된다.

    • Public Claim: 사용자 정의 Claim, 공개용 정보이며 충돌 방지를 위해 URI 포맷 이용

      {
      	"<https://github.com/RyuKyeongWoo>": true
      }
      

    • Private Claim: 사용자 정의 Claim, 서버와 클라이언트 사이의 임의로 지정한 정보를 저장

      {
      	"token_type": access
      }
      

• Signature(서명)

  • Header(헤더)의 인코딩 값과 Payload(정보)의 인코딩 값을 합친 후 주어진 Secret Key(비밀 키)로 해시하여 생성한다. 이렇게 만든 해시 값을 Base64 형태로 나타낸다.

JWT(JSON Web Token) 장/단점

• 장점
  • 토큰 자체에 인증에 필요한 정보가 모두 있기에 별도의 인증 저장소가 필요 없다.
  • 별도의 사용자 정보를 요청할 필요가 없기에 데이터 요청이 좀 더 가벼워 질 수 있다.
  • XML 포맷처럼 번거롭고 길지 않다.
  • 분산/클라우드 기반 infra-structure에 대응하기 쉽다.
  • URL Parameter와 Header로 사용한다.
  • 수평 스케일이 쉽다.
  • 트래픽에 대한 부담이 적다.
  • 내장된 만료가 존재한다.
  • REST 서비스 제공이 가능하다.
• 단점
  • 저장 할 필드 수에 따라 토큰이 커질 수 있다.
  • 토큰이 클라이언트에 저장되어 데이터베이스에서 사용자 정보를 조작해도 토큰에 직접 적용할 수 없다.
  • Stateless(무상태성) 환경에서는 토큰이 대부분의 요청에 전송되기에 트래픽 크기에 영향을 줄 수 있다.

JWT(JSON Web Token) 이용한 로그인 인증 과정