가이드

JWT 저장 위치: localStorage vs 쿠키

브라우저에서 JWT를 어디에 저장하느냐에 따라 XSS·CSRF 위험이 달라집니다.

localStorage: 다루기 쉽지만 자바스크립트로 읽히므로 XSS에 취약합니다 — 스크립트가 주입되면 토큰이 탈취될 수 있습니다.
HttpOnly 쿠키: 자바스크립트가 못 읽어 XSS에 강하지만, 자동 전송되므로 CSRF 방어(SameSite·CSRF 토큰)가 필요합니다.
권장: 리프레시 토큰은 HttpOnly·Secure·SameSite 쿠키, 액세스 토큰은 메모리(변수)에 짧게 두는 조합이 안전합니다.
어디에 두든 HTTPS는 필수이며, 토큰 수명을 짧게 하고 민감정보를 페이로드에 넣지 마세요.

토큰을 직접 디코드해 보세요붙여넣기만 하면 헤더·페이로드·클레임이 바로 풀립니다.

디코더 열기

관련 항목

JWT란 무엇인가

JWT(JSON Web Token)는 당사자 간에 정보를 안전하게 주고받기 위한, 서명된 작은 JSON 토큰 형식입니다.

JWT의 3부 구조

모든 JWT는 header.payload.signature 세 부분으로 이루어지며, 각 부분은 base64url로 인코딩됩니다.

JWT 보안 체크리스트

JWT를 안전하게 쓰기 위한 핵심 원칙을 짧게 정리했습니다.

JWT vs 세션 인증

토큰(JWT) 기반 인증과 서버 세션(쿠키) 기반 인증의 차이와 선택 기준입니다.

자주 나는 JWT 오류와 해결

JWT를 다룰 때 흔히 만나는 오류와 원인·해결 방법입니다.

액세스 토큰과 리프레시 토큰

짧게 사는 액세스 토큰과, 그것을 재발급하는 리프레시 토큰의 역할입니다.

JWS vs JWE (서명 vs 암호화)

JWT는 대개 서명된 JWS이며, 내용을 감추려면 암호화된 JWE를 씁니다. 둘의 차이입니다.

커스텀 클레임 (공개 vs 비공개)

등록 클레임(iss·exp 등) 외에 직접 정의하는 클레임의 종류와 충돌 방지법입니다.

OAuth 2.0 · OpenID Connect에서의 JWT

JWT가 OAuth 2.0와 OpenID Connect에서 어떤 역할을 하는지 정리합니다.