70. JWT

• 헤더(Header): 토큰의 타입(JWT)과 해싱 알고리즘 정보를 담고 있다.

• 페이로드(Payload): 사용자의 인증 정보 및 필요한 데이터를 담고 있으며, Base64Url로 인코딩되어 표현된다.

• 서명(Signature): 헤더와 페이로드를 합친 후, 비밀키로 해시하여 생성합니다. 이는 토큰의 무결성을 보장한다.

JWT (JSON Web Token)

• 정보 저장 방식: JWT는 필요한 인증 및 권한 정보를 토큰 자체에 포함해. 이 토큰에는 사용자 정보와 같은 클레임(Claim)들이 포함되어 있고, 이 정보는 서명되어 있기 때문에 서버는 별도의 저장소 없이 클라이언트로부터 받은 JWT를 검증할 수 있어.
• 동작 방식:
1. 클라이언트가 로그인하면 서버는 사용자 정보를 JWT로 인코딩하고 서명한 뒤, 이를 클라이언트에게 전달.
2. 클라이언트는 이후 요청 시마다 이 JWT를 서버에 전달.
3. 서버는 토큰을 받아 서명을 검증하고, 그 안에 포함된 정보를 이용해 인증 및 권한을 판단.

JWT 와 세션 비교

JWT의 장단점

• 분산 시스템에 유리: JWT는 토큰 기반 인증 시스템으로, 서버와 클라이언트 간의 통신이 자유롭고, 서버의 부하를 줄일 수 있다.

• 확장성: 다양한 서비스와의 연동이 용이하며, 마이크로서비스 아키텍처에 적합하다.

• 자가 포함적: JWT는 필요한 모든 정보를 자체적으로 포함하고 있어 별도의 인증 저장소가 필요 없다.

• 토큰 탈취 위험: 한 번 발급된 토큰은 만료될 때까지 유효하므로, 탈취당하면 보안 문제가 발생할 수 있다.

• 토큰 크기: JWT는 세션 ID에 비해 크기가 크므로, 매 요청마다 헤더에 포함시켜 전송해야 하기 때문에 네트워크 부하가 증가할 수 있다.

세션의 장단점

• 보안성: 서버 측에서 사용자의 인증 정보를 관리하기 때문에, 보안성이 높다.

• 상태 유지: HTTP의 비연결성, 비상태성 문제를 해결하며, 사용자의 상태 정보를 서버에서 관리할 수 있다.

• 서버 부하: 모든 사용자의 세션 정보를 서버에서 관리해야 하므로, 사용자가 많을 경우 서버의 부하가 증가할 수 있다.

• 확장성 제한: 세션 정보가 특정 서버에 저장되므로, 로드 밸런싱이나 서비스 확장 시 세션 공유 문제가 발생할 수 있다.

왜 JWT 를 써야 할까?

• 휴대폰: 예를 들어, 네트워크 연결이 불안정한 곳에서도 앱이 정상적으로 작동할 수 있고, 네트워크가 복구되면 정상적으로 서버와 연결해 JWT를 사용해 인증을 처리할 수 있어.