JWT (JSON Web Token)

JWT는 사용자를 인증하고 식별하기 위한 토큰의 한 종류입니다.
보통 세션이나 쿠키를 사용하기 힘든 경우 강력한 인증 수단으로 활용할 수 있습니다.

• 쿠키는 노출, 조작 등 보안에 취약하고 도메인 등이 달라질 경우 공유가 힘들어집니다.
• 세션은 서버에 별도로 정보를 저장해야 하기 때문에 추가 리소스가 들어가고 속도가 느려질 수 있습니다.

JWT의 특징

• JSON 구조, 즉 key-value 형태를 가집니다.
• 기본적으로 서버가 클라이언트의 상태를 가지고 있지 않습니다.
  • 각각의 요청이 독립적으로 작동합니다.
  • 이로 인해 확장성 면에서 이점을 가져갑니다.

JWT 흐름도

JWT를 구현하는 방식은 상황에 따라 조금씩 다릅니다.
하지만 이해를 돕기 위해 지금까지 보았던 구조를 기반으로 간단한 흐름도를 그려 보았습니다.
(참고만 부탁드립니다)

JWT의 단점

• 토큰의 길이가 상대적으로 길어, 네트워크애 부하를 줄 수 있습니다.
• JWT에 들어가는 내용 부분을 Payload라고 하는데, 이 부분은 누구나 열람 가능하고 별도로 암호화되지 않습니다.
  • 그렇기 때문에 민감 정보는 담지 않는 것이 좋습니다.
• 기본적으로 서버에서 JWT를 제어하지 않기 때문에, 토큰이 탈취되었을 때 대처가 어렵습니다.

그 외

1. Access token이 탈취되었을 경우를 대비하여, 유효기간을 짧게 생성합니다.
2. Refresh token이 탈취되었을 경우도 대비해야 하는데, 크게 2가지 방법이 있습니다.
   • 서버에 블랙리스트를 두어 토큰 사용을 막습니다. (흐름도처럼)
   • 토큰을 재발급할 때 Refresh token도 같이 발급하고, 유효기간을 Access token처럼 짧게 설정하거나 재사용을 막습니다. 이를 Refresh token rotation이라고 합니다.
3. Supabase 등 일부 서비스에서는 JWT에 권한 등의 추가 정보를 반환하기도 합니다.
   이것은 상황에 따라 달라지는데, 보통은 최소한의 정보만 저장하는 것이 좋습니다.
   (저는 가급적 사용자 ID 정도만 저장하는 것을 선호합니다.)

참고 자료

• JWT - Json Web Token | Engineering Blog by Dale Seo
• Is setting Roles in JWT a best practice? - Stack Overflow