JWT 인코더 (JWT Encoder)

JWT 인코더란 무엇인가요?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

주요 기능

예시

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

사용 방법

1. 1

   페이로드 클레임 편집하기

   토큰에 필요한 클레임을 페이로드 에디터에 JSON으로 작성하세요. 빠른 클레임 칩으로 iss, sub, aud, iat, nbf, 한 시간짜리 exp를 타임스탬프 입력 없이 삽입할 수 있습니다.

2. 2

   알고리즘 선택 후 키 입력하기

   서명 알고리즘을 고르세요. HS256/384/512는 비밀을 입력하고, RS·PS·ES 알고리즘은 PKCS8 PEM 개인 키를 붙여넣습니다. 입력하는 동안 토큰이 로컬에서 서명됩니다.

3. 3

   서명된 JWT 복사하기

   서명된 토큰이 세그먼트별로 색상 구분되어 즉시 나타납니다. Copy를 눌러 Authorization 헤더, curl 명령, 테스트에 넣으세요. 키는 브라우저를 떠난 적이 없습니다.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

주요 사용 사례

API 테스트용 토큰 생성

HS256 Bearer 토큰을 몇 초 만에 생성해 curl, Postman, 통합 테스트에서 보호된 엔드포인트를 점검하세요.

OAuth 및 OIDC 토큰 재현

인가 서버가 발급하는 것과 같은 RS256 또는 ES256 토큰을 만들어 클레임과 audience 불일치를 디버깅하세요.

테스트 픽스처 생성

전체 인증 서버를 띄우지 않고도 단위·통합 테스트용 결정론적 서명 토큰을 생성하세요.

인가 실패 디버깅

고객의 토큰 형태 — 발급자, audience, scope, 만료 — 를 재현해 백엔드가 거부하는 이유를 찾으세요.

검증자 검사

알려진 키로 토큰을 서명해 검증 미들웨어가 유효한 토큰은 받아들이고 변조된 토큰은 거부하는지 확인하세요.

인증 플로우 프로토타이핑

새 로그인, 마이크로서비스, 서비스 간 호출을 연결하는 동안 팀원에게 바로 쓸 수 있는 토큰을 건네주세요.

기술 세부 사항

RFC 7519 / 7515 / 7518 준수

RFC 7519(JWT), RFC 7515(JWS), RFC 7518(JWA)을 따르는 JWS 토큰을 생성하며, 헤더에 등록된 알고리즘 식별자를 담습니다.

네이티브 Web Crypto 서명

HMAC, RSASSA-PKCS1-v1_5, RSA-PSS, ECDSA에 대해 crypto.subtle로 서명합니다. ECDSA 서명은 JWS 요구 사항대로 원시 r||s 형식으로 출력됩니다.

Base64URL, 의존성 없음

헤더와 페이로드는 URL-안전 알파벳(RFC 4648)으로 패딩 없이 Base64URL 인코딩됩니다. 외부 라이브러리도, 네트워크 호출도, 원격 측정도 없습니다.

모범 사례

항상 만료 설정하기

exp 클레임을 포함해 유출된 토큰이 더 이상 유효하지 않게 하세요. 짧은 수명은 피해 범위를 줄입니다 — 액세스 토큰은 며칠이 아니라 몇 분 단위로.

페이로드에 비밀 넣지 않기

JWT 페이로드는 토큰을 가진 누구나 읽을 수 있습니다. 식별자와 scope는 넣되, 비밀번호, API 키, 전체 PII는 절대 넣지 마세요.

운영 환경에서는 서버 측 서명

이 도구는 테스트와 디버깅용으로 사용하세요. 실제 시스템에서는 유지 관리되는 라이브러리와 시크릿 매니저의 키로 서버에서 토큰을 서명하세요.

자주 묻는 질문