JWT 디코더 (JWT Decoder)

JWT란 무엇인가요?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

주요 기능

예시

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

사용 방법

1. 1

   JWT를 붙여넣어 디코딩하기

   점으로 구분된 세 부분을 포함한 전체 토큰을 디코딩할 수 있도록 입력 상자에 붙여넣으세요. 디코더는 브라우저에서 즉시 실행되므로 버튼을 누를 필요가 없습니다.

2. 2

   디코딩된 헤더, 페이로드, 상태 읽기

   디코딩된 헤더에서 알고리즘과 토큰 유형을, 디코딩된 페이로드에서 클레임을, 상단의 만료/발급 시각 칩을 읽으세요. 만료된 토큰은 빨간색으로 표시됩니다.

3. 3

   디코딩 결과 복사하기

   각 패널의 Copy 버튼으로 디코딩된 헤더 JSON, 디코딩된 페이로드 JSON, 원시 서명을 복사하세요. 토큰은 어디에도 전송되지 않았으며, 디코딩은 브라우저에서 로컬로 이루어졌습니다.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

주요 사용 사례

Authorization Bearer 토큰 디코딩

Authorization: Bearer 헤더의 JWT 토큰을 디코딩하여 백엔드가 수신하는 클레임, audience, 만료를 확인하세요.

OAuth 2.0 및 OIDC 토큰 디코딩

OAuth 2.0 및 OpenID Connect 통합 과정에서 인가 서버(Auth0, Okta, Google, Keycloak)가 반환한 액세스 토큰과 ID 토큰을 디코딩하세요.

만료된 세션 진단

거부된 토큰이 만료된 것인지, 잘못된 audience를 사용하는지, 시계 편차 문제가 있는지 1초 안에 확인하세요.

키 순환 점검

헤더의 kid(키 ID)를 읽어 JWKS 순환이 예상된 키로 서명된 토큰을 배포하고 있는지 검증하세요.

보안 리뷰

코드 리뷰와 모의 침투 중 alg:none으로 서명된 토큰, 누락된 exp, 페이로드로 유출되는 PII를 찾아내세요.

마이크로서비스 토큰 확인

메시 내부의 서비스 간 토큰을 디코딩해 다운스트림 호출이 어떤 scope와 subject로 인가되는지 확인하세요.

기술 세부 사항

RFC 7519 준수

RFC 7519(JWT), RFC 7515(JWS), RFC 7518(JWA)을 따르는 JWS 토큰을 처리하며, 등록된 모든 알고리즘의 디코딩을 지원합니다.

Base64URL 디코딩

RFC 4648에 정의된 URL-안전 Base64 알파벳(+, / 대신 -, _)을 사용하며, 패딩 허용 파싱을 제공합니다.

브라우저 네이티브, 의존성 없음

브라우저의 atob, TextDecoder, JSON.parse를 기반으로 하며, 외부 라이브러리도, 네트워크 호출도, 원격 측정도 없습니다.

모범 사례

검증 없이 신뢰하지 말기

디코더는 클레임을 보여줄 뿐 증명하지 않습니다. 어떤 클레임이든 신뢰하기 전에 반드시 발급자의 키로 서버 측에서 서명을 검증하세요.

운영 환경에서 alg:none 거부

JWT 라이브러리를 알고리즘 명시적 허용 목록으로 구성하세요. alg:none은 절대 허용하지 말고, 키 순환 중 alg 불일치를 경계하세요.

페이로드 가볍게 유지

식별자와 수명이 짧은 클레임만 JWT에 넣고, 덩치 큰 데이터는 불투명한 세션 ID 뒤에 두세요. 큰 토큰은 요청마다 대역폭 비용을 발생시킵니다.

자주 묻는 질문