JWT 토큰이란?

세션

세션을 관리하기 위해서는 서버쪽에 유저 정보를 저장 해야하기 때문에 아무래도 추가적인 저장소가 필요하다. 만약 내장 톰캣 메모리에 세션을 저장하게 되면 배포할 때마다 세션이 초기화 되기 때문에 다음과 같은 방법들을 활용하는 편이다. 

 

톰캣 자체 메모리를 활용한다. 

- 가장 기본 설정 

- 두 대이상의 WAS가 구동되는 환경에서는 부가적인 설정이 필요하다.

데이터베이스를 활용한다. 

- 가장 쉬운 방법이다. 

- 부가적인 설정은 필요 없지만 인증 요청마다 DB와 IO가 발생한다. 

Redis, Memcached 메모리 DB 활용 

- B2C 서비스에서 가장 많이 사용된다.  

 

JWT 토큰은 세션과 다르게 위의 예시와 같이 서버가 따로 메모리에 사용자의 정보를 관리할 필요가 없다(Stateless). JWT 토큰 자체에 정보가 암호화 상태로 포함 되어 있기 때문에 서버는 단순히 복호화와 암호화 책임만 가지게 된다.

 

JWT란?

JWT는 정보를 암호화된 JSON 객체 형태로 주고 받기 위해 표준규약에 따라 생성한 암호화된 문자열(Token)이다. JWT는 Claim 기반이라는 방식을 사용하는데, Claim이란 사용자에 대한 프로퍼티 속성을 이야기 한다.

 

JWT는 '.'을 구분자로 세 부분으로 구분되어 있는 문자열로 이루어져 있다.  각각 헤더는 토큰 타입과 해싱 알고리즘을 저장하고, 내용은 실제로 전달할 정보, 서명에는 위변조를 방지하기위한 값이 들어가게 된다.

 

 

JWT의 Token 자체로 의미있는 토큰(유저의 상태를 포함하고 있음)으로 구성되어 있기 때문에 Stateless한 아키텍처를 구성할 수 있다.

이 때 회원을 구분할 수 있는 정보가 담기는 곳이 바로 JWT의 payload 부분이고 이곳에 담기는 정보의 한 '조각'을 Claim 이라고 한다. Claim은 name / value 한 쌍으로 이루어져 있으며 당연히 여러개의 Claim들을 넣을 수 있다.

 

JWT의 장점 

확장성 

Token 자체로 의미 있는 내용으로 구성되어 있기 때문에 서버가 늘어나더라도 인증 방식만 알고 있다면 사용자 인증에 문제가 없다. 물론 세션도 세션 전용 서버를 만들어 DB에 저장하는 방법이 있지만, 모든 API의 요청에 대하여 DB의 값을 읽어야 하기 때문에 DB 부하가 발생할 수 있다.  브라우저, 앱간의 쿠키 처리 방법이 다르기 때문에 JWT를 사용하는 것이 다양한 디바이스를 활용하는 것에 좋다. 

 

단점 

모든 요청에 토큰이 포함되기 때문에 네트워크 부하가 증가할 수 있다. 만약 JWT 토큰이 만료되기 전에 탈취 당하게 되면 토큰 자체에 정보가 담겨져 있어 정보를 탈취 당할 수도 있다. 

-> 그래서 보통 만료 시간을 꼭 지정하도록 한다.

 

 

Reference

https://velopert.com/2389

[JWT] JSON Web Token 소개 및 구조 | VELOPERT.LOG

https://zkdlu.tistory.com/12

OAuth2.0 + JWT를 사용한 토큰 기반 서버 인증 구현하기

스프링 부트와 AWS로 혼자 구현하는 웹 서비스 - 프리렉 - 이동욱 지음