JWT란?

JWT는 JSON Web Token의 준말로, JSON의 형태로 데이터를 안전하게 전달할 수 있게 해주는 웹 표준 기술이다.
보통 로그인 인증 토큰 등을 관리하는 데 사용된다.

비밀키를 기반으로 해서 클라이언트에 인증 정보의 보관을 떠넘길 수 있다는 것이 가장 큰 특징이다. 세션을 꼭 사용할 필요가 없다.

구조

JWT 토큰은 아래와 같은 구조를 가진다.

첫번째 Header라는 식별용 객체값은 BASE64로 인코딩.
두번째 부가정보 Payload도 BASE64로 인코딩.
세번째는 Header와 Payload를 BASE64로 인코딩 후 비밀키로 암호화를 한다.
그리고 이 세가지를 .으로 연결해주는 것이다.

사용과정

JWT의 사용은 대체로 아래와 같은 프로세스를 따른다.

클라이언트가 인증에 성공한다면 서버는 자신이 가진 비밀키로 상기한 구조의 토큰을 생성, 클라이언트에게 전송한다.
클라이언트는 그걸 잘 보관하고 있다가, 인증을 요구하는 요청을 보낼 때 header 등에 포함해서 전송을 한다.
그럼 서버는 그걸 받고, 거기 들어있는 Header와 Payload를 비밀키로 암호화한다음에 Signature와 비교해 유효성을 검증한다.

백문이 불여일견이라. 예로부터, 무언가를 이해하는 데는 코드를 보는 것이 최고다.
한번 node.js에서 구현된 jwt 모듈의 코드를 뜯어보자.

다음은 jsonwebtoken의 종속 모듈 jws의 토큰 생성 코드이다.

다음은 jsonwebtoken의 종속 모듈 jwa의 토큰 검증 코드이다.

토큰에서 header와 payload를 추출, 비밀 키로 signature를 재구현하고,
토큰의 signature와 비교해서 같다면 제대로 된 사용자의 토큰이 되는 구조이다.

그렇다.

참조
https://en.wikipedia.org/wiki/JSON_Web_Token
https://velopert.com/2448
https://velog.io/@hwang-eunji/backend-django-JWT-%EB%B0%9C%ED%96%89%ED%95%98%EA%B8%B0
https://www.npmjs.com/package/jsonwebtoken
https://ko.wikipedia.org/wiki/%EB%B2%A0%EC%9D%B4%EC%8A%A464