[ jwt ] jwt의 구조

참고 사이트

• https://velopert.com/2389

 

 

🗼 구조

jwt는 ' . ' 을 구분자로 3가지 문자열로 구성되어 있다. 구조는 다음과 같다.

 

---

👷🏻‍♂️ Header

Header는 두가지의 정보를 지니고 있다.

• typ: 토큰의 타입을 지정한다. 즉, jwt

• alg: 해싱 알고리즘을 지정한다.
해싱 알고리즘은 보통 HMAC SHA256 혹은 RSA가 사용되며, 이 알고리즘은 토큰을 검증할 때 사용되는 signature부분에서 사용된다.

{
  "typ": "JWT",
  "alg": "HS256"
}

다음을 base64로 인코딩 하면 다음과 같다.

const header = {
  typ: 'JWT',
  alg: 'HS256',
};

const encodedHeader = new Buffer(JSON.stringify(header))
  .toString('base64')
  .replace('=', '');

console.log(encodedHeader);

 

$ node src/Back/Auth/jwt.js
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

 

jwt의 Header가 완성되었다.

 

---

📄 Payload

Payload는 토큰에 담을 정보들이 담겨있다.

여기에 담는 정보의 한'조각'을 클레임(claim)이라고 부르고, 이는 name - value 의 한 쌍으로 이루어져있다.

토큰에는 여러개의 클레임을 넣을 수 있다.

 

클레임의 종류는 다음과 같이 크게 세 분류가 있다.

 

• 등록된(registered) 클레임

• 공개(public) 클레임

• 비공개(private) 클레임

 

🍕 등록된(registered) 클레임

• iss: 토큰 발급자 (issuer)

• sub: 토큰 제목(subject)

• aud: 토큰 대상자(audience)

• exp: 토큰의 만료시간 (expiration), 시간은 NummericDate 형식으로 되어있어야 하며 언제나 현재 시간보다 이후로 설정되어 있어야한다.

• nbf: Not Before를 의미하며, 토큰의 활성 날짜와 비슷한 개념입니다. 여기에도 NumericDate 형식으로 날짜를 지정하며, 이 날짜가 지나가기 전까지는 토큰이 처리되지 않는다.

• iat: 토큰이 발급된 시간(issued at), 이 값을 사용하여 토큰의 age가 얼마나 되었는지 판단 할 수 있다.

• jti: jwt 고유의 식별자로서, 주로 중복적인 처리를 방지하기 위하여 사용합니다. 일회용 토큰에 사용하면 유용하다.

 

🍕 공개(public) 클레임

공개 클레임들은 충돌이 방지된 (collisiton-resistant) 이름을 가지고 있어한다. 충돌을 방지하기 위해서는, 클레임 이름을 URI 형식으로 짓습니다.

 

{
  "http://localhost:3000/jwt_claim/admin": true
}

 

🍕 비공개(private) 클레임

등록된 클레임도 아니고, 공개된 클레임도 아니다. 양 측간에(클라이언트와 서버) 협의하에 사용되는 클레임 이름들이다.

공개 클레임과는 달리 이름이 중복되어 충돌이 될 수 있으니 사용에 유의해야한다.

 

{
  "username": "ma.caron_g"
}

payload를 예시로 만들면 다음과 같다.

{
    "iss": "ma.caron_g",
    "exp": "1488970000000",
    "http://localhost:3000/jwt_claims/admin": true,
    "userId": "123456789",
    "username": "macarong"
}

다음을 base64로 인코딩하면 다음과 같다.

const payload = {
  iss: 'ma.caron_g',
  exp: '1488970000000',
  'http://localhost:3000/jwt_claims/admin': true,
  userId: '123456789',
  username: 'macarong',
};

const encodedPayload = new Buffer(JSON.stringify(payload))
  .toString('base64')
  .replace('=', '');

console.log(encodedPayload);

$ node src/Back/Auth/jwt.js 
eyJpc3MiOiJtYS5jYXJvbl9nIiwiZXhwIjoiMTQ4ODk3MDAwMDAwMCIsImh0dHA6Ly9sb2NhbGhvc3Q6MzAwMC9qd3RfY2xhaW1zL2FkbWluIjp0cnVlLCJ1c2VySWQiOiIxMjM0NTY3ODkiLCJ1c2VybmFtZSI6Im1hY2Fyb25nIn0

 

jwt의 두 번째 파트가 완성되었다.

 

---

🖋️ Signature

JSON Web Token의 마지막은 바로 서명(signature)이다.

이 서명은 헤더의 인코딩값과 정보의 인코딩값을 합친 후 주어진 비밀키로 해쉬하여 생성한다.

 

서명 부분을 만드는 슈도코드(pseudocode)의 구조는 다음과 같다.

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret
)

이렇게 만든 해시를, base64 형태로 나타낸다.

const crypto = require('crypto');
const signature = crypto
  .createHmac('sha256', 'secret')
  .update(encodedHeader + '.' + encodedPayload)
  .digest('base64')
  .replace('=', '');

console.log(signature);

결과는 다음과 같다.

$ node src/Back/Auth/jwt.js
BGhaVOC4b8xm1XEUZdqcNR80yiVszo6WP+97K8ucC4U

 

이로써 모든 값을 합쳐서

하나의 토큰이 완성된다.

 

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJtYS5jYXJvbl9nIiwiZXhwIjoiMTQ4ODk3MDAwMDAwMCIsImh0dHA6Ly9sb2NhbGhvc3Q6MzAwMC9qd3RfY2xhaW1zL2FkbWluIjp0cnVlLCJ1c2VySWQiOiIxMjM0NTY3ODkiLCJ1c2VybmFtZSI6Im1hY2Fyb25nIn0.BGhaVOC4b8xm1XEUZdqcNR80yiVszo6WP+97K8ucC4U

 

해당 값을 jwt 사이트 디버거에 붙여넣으면 디버그 할 수 있다.

 

http://jwt.to/