JWT 디코더

JWT 디코더란?

JWT 디코더는 JSON Web Token을 헤더, 페이로드, 시그니처 세 부분으로 쪼갠 뒤, 앞의 두 부분을 Base64URL로 디코딩해 JSON 형태로 보여줍니다. 로그인 흐름이나 권한 처리, 세션 클레임, 토큰 만료 문제를 디버깅할 때 정말 자주 쓰는 도구죠.

JWT를 디코딩한다고 해서 그 토큰을 *신뢰할 수 있다는 뜻은 아닙니다*. 헤더와 페이로드는 설계상 누구나 읽을 수 있도록 되어 있어요. 암호화된 게 아니라 단순히 Base64URL로 인코딩됐을 뿐입니다. 토큰이 진짜 발급자가 서명한 것인지, 중간에 조작되지 않았는지 확인하는 건 "검증" 단계입니다.

JWT는 header.payload.signature 형태로 생겼습니다. 각 부분은 Base64URL로 인코딩되어 점(.)으로 구분되죠. 헤더에는 어떤 서명 알고리즘을 썼는지가 적혀 있고, 페이로드에는 클레임(누구의 토큰인지, 언제 만료되는지, 어떤 권한이 있는지)이 담겨 있고, 시그니처는 서버가 토큰이 변조되지 않았다는 걸 증명하는 데 쓰입니다.

JWT를 디코딩하면서 배우게 되는 것들

• JWT는 점으로 구분된 세 개의 Base64URL 인코딩 조각, 즉 header.payload.signature 구조입니다.
• sub, role, iat, nbf, exp 같은 흔한 클레임은 사용자 식별, 권한, 발급 시각, 만료 시각을 나타냅니다.
• 디코딩된 페이로드는 누구나 수정할 수 있고, 변조 여부를 잡아내는 건 오직 시그니처뿐입니다.

JWT 디코딩 단계별 가이드

1. 1

   토큰 전체를 붙여 넣기

   입력창에 JWT를 통째로 붙여 넣으세요. xxxx.yyyy.zzzz처럼 점으로 연결된 세 개의 Base64URL 조각이어야 합니다.

2. 2

   헤더 확인하기

   헤더에는 서명 알고리즘(alg)과 토큰 타입이 적혀 있습니다. 특히 "alg": "none"은 조심하세요. 서명이 없는 토큰이라는 뜻이라 절대 신뢰하면 안 됩니다.

3. 3

   페이로드의 클레임 살펴보기

   페이로드는 모든 클레임이 들어 있는 JSON입니다. sub(사용자 ID), exp(만료), iat(발급 시각)을 비롯해, 앱에서 추가한 role이나 tenant 같은 커스텀 클레임도 함께 확인해 보세요.

4. 4

   만료 시각 체크하기

   exp의 Unix 타임스탬프를 날짜로 변환해 보세요. 이미 지난 시간이라면 토큰은 만료된 것이고, 제대로 동작하는 API라면 거부할 겁니다.

5. 5

   시그니처 검증하기 (선택 사항)

   비밀키 또는 공개키를 가지고 있다면 검증기에 함께 넣어 시그니처가 유효한지 확인할 수 있습니다. 시그니처 검증을 통과한 경우에만 토큰의 내용을 믿어도 됩니다.

표준 JWT 클레임

아래는 JWT 명세(RFC 7519)에 정의된 등록 클레임들입니다. 어떤 애플리케이션이든 여기에 자기만의 커스텀 클레임을 추가해서 같이 쓸 수 있어요.

직접 시도해 볼 JWT 예제

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

JWT에서 자주 하는 실수

• 비밀번호, 시크릿, 민감한 개인정보를 페이로드에 그대로 넣기. JWT는 누구나 읽을 수 있고 암호화된 게 아닙니다.
• 토큰을 디코딩만 하고 시그니처 검증 없이 "유효하다"고 단정하기.
• Base64URL로 읽힌다는 것을 암호화와 혼동하기. JWT 페이로드는 일부러 누구나 읽을 수 있게 만들어진 겁니다.

JWT FAQ