JWT · JSON 웹 토큰

JWT이란?

JWT를 쓰면 달라지는 건 서버가 무엇을 기억하느냐입니다. 세션 방식에서는 누가 로그인했는지를 서버나 Redis에 쌓아두고 요청이 올 때마다 조회했지만, JWT는 그 기억을 토큰에 담아 사용자 쪽에 맡깁니다. 덕분에 서버를 몇 대로 늘려도 세션을 공유할 필요가 없고, 로드밸런서가 요청을 어디로 흘려보내든 결과가 같습니다. 대신 한 번 발급한 토큰은 서버가 거둬들일 수단이 없다는 대가가 따라옵니다.

토큰은 헤더·페이로드·서명 세 덩어리를 점으로 이은 문자열입니다. 앞의 두 덩어리는 Base64URL로 인코딩만 돼 있어 누구나 펼쳐 볼 수 있고, 위조를 막는 건 마지막 서명 하나입니다. 서명은 발급과 검증에 같은 비밀키를 쓰는 HS256과, 인증 서버가 개인키로 서명하고 각 서비스는 공개키로 검증만 하는 RS256으로 갈립니다. 검증 주체가 여러 곳으로 흩어질수록 RS256이 맞고, 비밀키를 여러 팀에 복사해 돌리는 순간 그 팀 누구나 토큰을 찍어낼 수 있게 됩니다.

수명 설계도 같이 봐야 합니다. 실무에서는 액세스 토큰을 15~30분으로 짧게 끊고, 2주 안팎의 리프레시 토큰으로 조용히 재발급하는 조합이 흔합니다. 짧을수록 탈취 피해 시간이 줄지만 재발급 트래픽은 늘어, 만료 시간은 보안과 부하 사이의 저울질입니다. OAuth 2.0과 헷갈리기 쉬운데, OAuth는 권한을 위임하는 절차이고 JWT는 그 절차에서 오가는 토큰의 형식일 뿐이라 둘은 대체 관계가 아닙니다.

사고는 보통 '서명했으니 내용도 안전하다'는 믿음에서 납니다. 페이로드는 암호화가 아니라 인코딩이라, jwt.io에 붙여넣는 순간 사번·연봉등급·내부 이메일이 그대로 드러납니다. 더 자주 발목을 잡는 건 로그아웃과 권한 회수가 즉시 반영되지 않는다는 점입니다. 퇴사자 계정을 비활성화해도 이미 나간 토큰은 만료 시각까지 살아 있어, 만료를 8시간으로 잡아둔 회사는 그 8시간 동안 내부 문서가 계속 열립니다. 그래서 결제·인사 같은 민감 API만은 서버에서 한 번 더 계정 상태를 조회하거나 차단 목록을 두는 이중 장치가 필요합니다.