JWT 토큰에 대해서 질문드립니다

Question

안녕하세요. restAPI 서버를 제작을 해보면서 JWT를 적용하려고 하려고 하는데 궁금한 것이 있어 질문드립니다. 현재 고민중인 JWT 의 유의사항은 아래와 같은 두가지 사항입니다.1. JWT 발급시 내부 페이로드엔 최소한의 데이터만 넣는다. (base64 인코딩기반이라 누구든 볼수있다) 2. 토큰 탈취될 경우를 대비하여 항상 만료기간을 짧게 설정하는게 권장된다. 의문점은 다음과 같습니다.1. 서버간 요청에 JWT 를 활용하려는데, 효과적인 활용법을 알고싶습니다.JWT 페이로드에 담는 데이터는 이걸 전달한 사용자를 식별하는 특정 데이터를 담는다고 알고 있습니다. 하지만 저는 restAPI 서버와 웹 서비스 서버를 따로 구성하고 있고, 서비스 서버에서 온 특정 요청에 대해서만 처리하고자 하려는데 어떤 형태로 구현하는 것이 괜찮을지 궁금합니다.2. JWT를 활용하는 타 서비스에선 어떤식으로 토큰을 활용하는지 궁금합니다.JWT 데이터는 base64 로 인코딩되어 누구나 확인이 가능하다는 말은 결국 전달되는 토큰은 다른 누군가가 맘만 먹으면 확인할 수 있다는 뜻으로 생각되고, JWT를 발행한 서버는 항상 내부에 지정된 비밀키로 유출된 토큰을 검증하기 때문에, 페이로드 데이터가 어떤 식별데이터를 담던 의미가 없다고 생각됩니다...

가을 · Answer

1. 웹서비스에서 토큰발급요청(인증) api 호출 후 전달받은 토큰을 헤더에 담아 콜백으로 rest API를 호출하시면됩니다.2. JWT토큰 내부의 페이로드를 JWE로 암호화하는 방법도 있습니다.

JWT 토큰에 대해서 질문드립니다

1개의 답변

Q&A 목록