디코딩된 클레임은 서명 검증 전까지 신뢰할 수 없습니다.
누구나 임의의 헤더와 페이로드 값을 사용하여 토큰 모양의 문자열을 구성할 수 있습니다. sub, role, exp 같은 클레임을 읽으면 토큰이 말하는 내용을 알 수 있습니다. 누가 발행했는지는 증명되지 않습니다.
JWT Header/Payload와 exp·iat·nbf 등 주요 클레임을 디코딩하고 HS256 서명을 브라우저에서만 검증합니다.
{}
{}
JWT 페이로드는 일반적으로 Base64URL로 인코딩된 클레임이며 키 없이 디코딩될 수 있습니다. 따라서 디코딩은 내용을 확인하는 데는 유용하지만 토큰을 신뢰할 근거가 되지는 않습니다. 신뢰를 위해서는 예상되는 알고리즘 및 키로 서명을 확인한 다음 발급자, 대상자 및 만료와 같은 클레임을 별도로 시행해야 합니다.
누구나 임의의 헤더와 페이로드 값을 사용하여 토큰 모양의 문자열을 구성할 수 있습니다. sub, role, exp 같은 클레임을 읽으면 토큰이 말하는 내용을 알 수 있습니다. 누가 발행했는지는 증명되지 않습니다.
이 도구는 일치하는 비밀을 제공할 때 HS256 서명을 확인할 수 있습니다. 성공적인 서명 검증은 해당 공유 키 아래의 무결성을 입증하지만 만료, 발급자, 대상, nonce 및 기타 클레임에 대한 애플리케이션 규칙은 여전히 필요합니다.
RS256 및 ES256은 비대칭 키를 사용하며 이 HS256 전용 검사기로 확인되지 않습니다. 지원되지 않는 알고리즘을 검증 실패 또는 성공으로 해석하지 마십시오. 해당 알고리즘과 키 유형에 맞게 설계된 검증기를 사용하세요.