핵심 요점
- 01모든 JWT를 디코딩하고 한 번에 헤더, 페이로드, 표준 클레임을 검사합니다.
- 02exp, nbf, iat 클레임은 유효/만료된 태그로 인간이 읽을 수 있는 타임스탐프로 변환됩니다.
- 03디코딩은 순수 로컬입니다 - 디버깅 중에 실제 프로덕션 토큰을 붙여넣기에 안전합니다.
- 04디코더는 서명을 확인하지 않습니다 - 발급자 키로 서버측에서 발생해야 합니다.
JWT 디코더가 필요한 이유
JSON Web Token은 세 개의 Base64URL 인코딩 세그먼트가 점으로 구분될 때까지 난수처럼 보입니다. 첫 번째 세그먼트는 헤더(알고리즘 및 토큰 유형), 두 번째는 페이로드(클레임: 사용자 ID, 역할, 만료), 세 번째는 서명입니다. 인증 문제, 만료된 세션 또는 깨진 OAuth 통합을 디버깅할 때 가장 먼저 해야 할 일은 페이로드를 읽는 것입니다.
수동으로 수행하려면 점으로 분할하고, Base64URL을 디코딩하고, Unix 타임스탐프를 읽을 수 있는 날짜로 변환합니다. Handytool의 JWT 디코더는 모든 작업을 자동으로 수행하고 타이밍 클레임에 유효성 태그를 추가하여 토큰이 아직 활성화되어 있는지 한눈에 볼 수 있습니다.
JWT 토큰을 디코딩하는 방법
- 01
JWT 복사
브라우저의 DevTools(Application > Cookies 또는 Network 패널 Authorization 헤더), 로그 파일 또는 API 클라이언트에서 토큰을 가져옵니다.
- 02
디코더에 붙여넣기
전체 토큰(점으로 구분된 3개 세그먼트 모두 포함)을 입력 상자에 붙여넣으세요. 디코더는 세그먼트를 자동으로 식별합니다.
- 03
헤더 및 페이로드 읽기
도구는 토큰을 분할하고 헤더(알고리즘, 유형)와 페이로드(모든 클레임)를 형식이 지정된 JSON으로 예쁘게 인쇄합니다.
- 04
타이밍 클레임 확인
exp(만료), nbf(이전 아님), iat(발급 시점) Unix 타임스탐프는 ISO 날짜로 변환됩니다. 디코더는 exp를 현재 로컬 시간을 기준으로 녹색(유효) 또는 빨강(만료)으로 태그합니다.
표준 JWT 클레임 설명
이 등록된 클레임 이름은 대부분의 JWT에 나타납니다.
- 01iss(발급자) - 토큰을 생성한 사람을 식별하며, 일반적으로 URL 또는 서비스 이름입니다.
- 02sub(주제) - 토큰이 나타내는 주체, 일반적으로 사용자 ID입니다.
- 03aud(대상) - 토큰의 의도된 수신자; 서버는 다른 사용자를 위한 토큰을 거부해야 합니다.
- 04exp(만료) - 토큰을 거부해야 한 후 Unix 타임스탐프입니다.
- 05nbf(이전 아님) - 토큰을 거부해야 한 이전 Unix 타임스탐프입니다.
- 06iat(발급 시점) - 토큰이 발급된 Unix 타임스탐프; 오래된 토큰을 감지하는 데 유용합니다.
디버깅 중에 실제 토큰 붙여넣기에 안전
JWT 디코딩은 네이티브 atob 함수와 JSON.parse를 사용하여 브라우저에서 완전히 수행됩니다. 서버로 전송되는 것은 없습니다 - 토큰은 메모리에서 디코딩되고 로컬에서 표시됩니다. 개발 또는 스테이징 환경의 실제 액세스 토큰 및 세션 토큰을 붙여넣어 인증 흐름을 디버깅할 수 있습니다.
즉, JWT를 암호처럼 취급합니다. 전체 수명 동안 시스템에 대한 액세스 권한을 부여합니다. 도구의 개인정보 보호 보장에 확신하지 않는 한 높은 권한 계정의 프로덕션 토큰을 어떤 도구에도 붙여넣지 마세요 - 항상 토큰이 노출되었을 수 있다고 생각되면 회전합니다.
JWT 디코더 FAQ
JWT란 무엇인가요?
JSON Web Token은 점으로 구분된 3개의 Base64URL 세그먼트(헤더, 페이로드, 서명)로 구성된 컴팩트하고 URL 안전한 형식입니다. JWT는 사용자 또는 세션에 대한 주장인 클레임을 전달하며 인증, 인가, API 액세스에 사용됩니다.
이 디코더는 JWT 서명을 확인하나요?
아니요. 디코더는 헤더와 페이로드만 파싱합니다. 서명 확인을 위해서는 발급자의 비밀 또는 공개 키가 필요하며 신뢰할 수 있는 라이브러리를 사용하는 애플리케이션 코드에서 발생해야 합니다.
실제 액세스 토큰을 여기에 붙여넣기에 안전한가요?
디코딩은 완전히 로컬입니다 - 토큰은 절대 전송되지 않습니다. 그러나 JWT는 실제 액세스 권한을 부여하므로 암호처럼 취급합니다. 공유하지 말고, 소스 제어에 커밋하지 말며, 노출되었을 수 있다면 회전합니다.
exp 클레임은 무엇을 의미하나요?
exp는 만료 타임스탐프입니다 - 토큰이 더 이상 유효해지지 않는 순간을 나타내는 Unix 정수입니다. 디코더는 이를 인간이 읽을 수 있는 ISO 날짜로 변환하고 현재 로컬 시간을 기준으로 유효 또는 만료로 표시합니다.
키 없이 JWT 페이로드가 보이는 이유는 무엇인가요?
JWT 페이로드는 Base64URL 인코딩되지만 암호화되지 않습니다. 읽을 수 있도록 설계되었습니다 - 서명은 진정성만 증명하고 기밀성은 증명하지 않습니다. JSON Web Encryption(JWE)을 사용하지 않는 한 진정한 비밀 데이터를 JWT 페이로드에 넣지 마세요.
디코더는 무료인가요?
예. Handytool은 가입, 속도 제한, 데이터 수집이 없는 무료입니다.