JWT 디코더

JWT 디코더 온라인 - JSON 웹 토큰 파싱란 무엇인가요?

JWT(JSON Web Token) 디코더는 사이버보안 및 개발자 도구로, Base64URL로 인코딩된 JWT 문자열을 입력하면 헤더와 페이로드에 들어있는 JSON 오브젝트를 해독하여 읽을 수 있는 형태로 변환합니다. JWT는 일반적으로 세 부분으로 구성되며, 각 부분은 점(.)으로 구분됩니다. 본 도구는 문자열을 점으로 분한 후, 첫 두 부분(Header, Payload)을 Base64URL에서 디코딩하여 JSON으로 파싱합니다. 이를 통해 사용자는 토큰 내부에 정의된 필드와 값을 직관적으로 확인할 수 있습니다. JWT는 대칭 및 비대칭 서명 알고리즘을 지원하며, 헤더에는 사용된 알고리즘과 토큰 유형이, 페이로드에는 사용자 정보와 권한 등이 포함됩니다. 디코딩된 JSON은 예를 들어, 사용자 ID, 역할, 만료 시간, 발급자, 대상 등과 같은 정보를 포함할 수 있으며, 인증 및 인가 처리에 핵심적입니다.

JWT 디코더 온라인 - JSON 웹 토큰 파싱 사용 방법

1. 입력 상자에 전체 JWT 문자열(Header.Payload.Signature)을 붙여넣으세요. 예를 들어, 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'와 같은 긴 문자열을 복사하여 붙여넣을 수 있습니다. 보안상의 이유로 프로덕션 토큰은 가능한 한 복사하여 붙여넣지 않는 것이 좋지만, 테스트 환경에서는 안전하게 사용할 수 있습니다.
2. 도구가 자동으로 문자열을 분석하여 헤더와 페이로드 부분을 디코딩합니다. 디코딩 과정은 클라이언트 측에서 즉시 이루어지며, 추가 버튼 클릭 없이 결과가 표시됩니다. 분석 중 오류가 발생하면 (예: 형식이 잘못된 JWT) 오류 메시지가 표시되므로, 입력 값을 다시 확인할 수 있습니다.
3. 디코딩된 JSON 데이터가 강조 표시된 코드 블록에 표시됩니다. 각 필드와 값을 확인한 후, 필요에 따라 복사하거나 다른 분석 도구로 활용할 수 있습니다. 코드 블록은 문법 강조를 통해 가독성을 높이며, 사용자는 각 필드의 데이터 타입을 쉽게 파악할 수 있습니다.

예시

사용자가 다음과 같은 JWT를 입력했다고 가정합니다: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c. 이 도구는 이 문자열을 분해하여 헤더와 페이로드를 디코딩하고, 다음과 같은 JSON을 출력합니다: {"alg":"HS256","typ":"JWT"} 와 {"sub":"1234567890","name":"John Doe","iat":1516239022}. 이 결과를 통해 사용자는 토큰이 HS256 알고리즘으로 서명되었고, 사용자 ID가 1234567890이며, 발급 시각이 1516239022임을 알 수 있습니다.

결과 이해하기

디코딩된 결과를 통해 사용자는 토큰 내부의 다양한 클레임을 확인할 수 있습니다. 예를 들어, sub 필드는 사용자 식별자, exp 필드는 토큰 만료 시각, iat 필드는 발급 시각을 나타냅니다. 이 정보는 인증 플로우를 디버징할 때 특히 유용하며, 토큰이 올바르게 생성되었는지, 특정 사용자 역할이 포함되었는지 등을 점검할 수 있습니다. 또한, 보안 감사 과정에서 토큰에 민감한 정보(예: 평문 비밀번호)가 실수로 포함되지 않았는지 확인하는 데도 활용됩니다. iss(발급자)와 aud(대상 audience) 필드를 확인하여 토큰이 올바른 서버에서 발급되었는지 검토할 수도 있습니다. 만약 exp 필드가 현재 시간보다 과거라면 토큰이 이미 만료된 것이므로, 인증 실패가 발생할 수 있습니다.

일반적인 사용 사례

• 인증 디버닝: 사용자가 로그아웃되는 원인을 파악하기 위해 토큰 내 exp(만료) 타임스탬프를 확인합니다.
• API 개발: 백엔드가 JWT 페이로드에 올바른 사용자 역할을 정확히 포함시키고 있는지 검증합니다.
• 보안 감사: 토큰에 평문 비밀번호 등 민감한 데이터가 실수로 인코딩되지 않았는지 점검합니다.
• 모바일 앱 개발: 앱에 저장된 JWT의 내용을 디버그 모드에서 확인하여 인증 상태를 추적합니다.
• 클라우드 인프라 설정: JWT를 사용하는 서비스의 인증 정책을 점검할 때 토큰 내부 구성을 확인합니다.
• 보안 위험 평가: 토큰에 불필요한 데이터가 포함되어 있는지 분석하여 정보 노출 위험을 평가합니다.

작동 원리

JWT 문자열은 세 부분으로 나뉩니다: Header, Payload, Signature. 본 디코더는 먼저 문자열을 '.' 문자를 기준으로 분할합니다. 그다음 Header와 Payload 부분을 각각 Base64URL 형식에서 디코딩하여 일반 텍스트로 변환합니다. 디코딩된 텍스트는 JSON 문법을 따르므로, JavaScript의 JSON.parse 메서드를 사용해 오브젝트로 파싱합니다. 최종적으로 사용자는 헤더에 정의된 알고리즘(alg)과 페이로드에 포함된 클레임(sub, exp, iat 등)을 확인할 수 있습니다. 서버 측 검증은 수행하지 않으므로, 토큰의 무결성은 별도로 확인해야 합니다. Base64URL 디코딩은 표준 Base64와 유사하지만, URL-safe 문자 집합을 사용하므로, '-'와 '_'가 '+'와 '/' 대신 사용됩니다. 이 과정에서 문자열이 올바른 형식인지 확인하며, 만약 세 부분 중 하나라도 누락되면 디코딩 실패를 보고합니다.