JWT 디코더

토큰을 읽고, 검증하고, 시험용으로 서명합니다

JWT는 Base64url 세 조각입니다. 헤더, 페이로드, 서명. 헤더와 페이로드는 JSON이고 암호화되지 않습니다. 토큰을 가진 사람은 읽을 수 있습니다. 서명은 HMAC 비밀이나 공개 키가 있을 때 페이로드가 바뀌지 않았음을 보여 줍니다. 이 페이지는 브라우저에서 읽고, 검증하고, 만듭니다. alg가 none인 경우, 없거나 이미 지난 exp, 밀리초로 쓴 시각, 32바이트보다 짧은 HMAC 비밀을 알려 줍니다. 토큰은 올리지 않습니다. 해시 페이지의 체크섬은 JWT 서명이 아닙니다. exp는 초 단위 Unix 시간입니다. 다른 시간대는 유닉스 시간 페이지에서 봅니다.

쓰는 방법

1. 토큰은 왼쪽입니다. 오른쪽의 헤더와 페이로드는 두 개의 탭입니다. 입력하는 즉시 갱신이 켜져 있으면 두 칸이 채워집니다. 페이로드 아래 시각은 이 컴퓨터의 로컬 시간입니다. 여유는 없습니다. exp가 지금이거나 더 이르면 만료입니다.
2. 예제 보기는 페이로드가 {"sub":"user-1"}인 HS256 토큰을 넣고 HMAC 비밀을 secret으로 둡니다. 비밀은 Base64는 꺼져 있습니다. 검증은 서명이 맞는다고 합니다. 보안 점검은 비밀이 6바이트이고 exp가 없다고 합니다. 짧은 것은 예시입니다.
3. 검증은 토큰 칸을 봅니다. 헤더나 페이로드에 아직 반영하지 않은 수정은 보지 않습니다. HS256, HS384, HS512는 HMAC 비밀을 씁니다. RS, PS, ES는 알고리즘 아래의 키 쌍을 씁니다. 공개 키로 검증하고 개인 키로 서명합니다. 키 만들기가 둘을 채웁니다. JWT 만들기는 그 두 칸으로 새 토큰을 만듭니다. 알고리즘 메뉴가 헤더에 적힌 alg보다 우선합니다.
4. 만료는 처음에 클레임 유지라서 JWT 만들기가 iat와 exp를 그대로 둡니다. 1시간을 고르고 만들면 지금부터의 초로 둘을 씁니다. 템플릿의 사용자는 sub 1234567890, name John Doe, email [email protected]을 넣습니다. 접근은 sub user-1과 scope read를 넣습니다.
5. 토큰 아래 복사는 토큰만 복사합니다. 헤더나 페이로드의 복사는 그 칸입니다. JWKS로 검증은 이 브라우저가 JWKS 주소에서 키만 가져옵니다. 토큰은 보내지 않습니다. 모두 지우기는 토큰, JSON 두 칸, 비밀, 키, 주소를 비웁니다.

어디까지 확인하나

HS256, HS384, HS512는 비밀을 씁니다. 32바이트보다 짧아도 서명은 되며, 보안 점검이 경고합니다. 비밀 자체가 Base64일 때만 비밀은 Base64를 켭니다. RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512는 PEM이나 JWK입니다. 공개 키는 검증에 씁니다. PKCS#8 개인 키는 만들 때 씁니다. RSA 개인 키는 공개 부분을 포함하므로 검증에도 쓸 수 있습니다. SPKI(BEGIN PUBLIC KEY), PKCS#8(BEGIN PRIVATE KEY), PKCS#1 RSA를 붙일 수 있습니다. 인증서는 거절합니다. BEGIN EC PRIVATE KEY인 EC 키도 거절합니다. PKCS#8로 내보내세요. alg가 none이면 유효로 보지 않습니다. 검증은 헤더의 alg를 따릅니다. HMAC 비밀로 RSA를 확인하지 않습니다. exp, nbf, iat는 초입니다. 열세 자리는 경고만 하고 바꾸지 않습니다. JWKS는 키 묶음이거나 키 하나입니다. 여러 개인데 kid가 없으면 오류입니다. 헤더나 페이로드가 배열이면 JWT 만들기가 멈춥니다.

언제 쓰나

• 이미 가진 토큰의 sub와 exp를 읽을 때.
• 직접 비밀을 정한 로컬 서버용 HS256을 만들 때.
• 공개 키 PEM이나, 브라우저 접근을 허용하는 JWKS로 RS256을 확인할 때.
• 시험용 비밀을 설정에 복사하기 전에 짧다는 것을 볼 때.

질문