JWT 디코딩과 검증의 차이

디코딩이 실제로 제공하는 것

디코딩은 읽기 쉽게 만드는 단계일 뿐입니다. header와 payload를 JSON으로 보여 주어 `alg`, `sub`, `iss`, `aud`, `exp`, custom claims 같은 필드를 확인할 수 있습니다. 디버깅에는 도움이 되지만 token이 올바르게 서명되었거나 현재 요청에서 여전히 유효하다는 것을 증명하지는 않습니다.

검증이 여전히 증명해야 할 것

실제 검증은 디코더 밖에서 이루어집니다. 인증 계층은 올바른 secret 또는 public key로 서명을 다시 계산하거나 검증한 뒤, claims가 의도한 issuer, audience, 시간 범위, 권한과 맞지 않는 token을 거부해야 합니다. 읽을 수 있는 payload만으로 신뢰할 수 없는 이유입니다.

• 읽기 가능 여부와 별도로 서명 유효성을 확인합니다.
• token을 신뢰하기 전에 `exp`, `nbf`, `iss`, `aud`를 확인합니다.
• 마스킹되었거나 짧게 유지되는 샘플로 충분하다면 실제 production token을 피합니다.

A practical browser workflow

먼저 디코딩해 claims를 읽고 token이 어느 환경에 속하는지 확인한 뒤, 실제 인증 시스템으로 돌려보내 서명과 권한을 검사합니다. 문제가 audience, issuer, 시간 범위 drift라면 디코더는 빠르게 확인하게 도와주지만 검증을 대체하지는 않습니다.