JWT 보안 체크리스트

• alg=none 이나 예기치 않은 알고리즘을 거부하고, 기대하는 알고리즘만 허용하세요.
• 페이로드는 암호화가 아니므로 비밀번호·개인정보 등 민감정보를 담지 마세요.
• exp 로 수명을 짧게 두고, 필요하면 nbf·jti 로 유효 구간과 재사용을 통제하세요.
• 서명 검증 시 iss·aud 가 기대값과 일치하는지 함께 확인하세요.
• 비밀키(시크릿)는 충분히 길고 무작위해야 하며 절대 클라이언트에 노출하지 마세요.

관련 항목