[JWT] JWT 인증 방식을 더 자세히 알아보자

1. 사용자 인증 과정

💻 클라이언트 측: 로그인 요청

POST /login
Content-Type: application/json

{
  "username": "johndoe",
  "password": "mypassword"
}

🛠️ 서버 측: 자격 증명 검증 및 JWT 생성

// 사용자 인증이 성공하면 서버는 JWT를 생성한다
String jwtToken = jwtUtil.generateToken(username);

HTTP/1.1 200 OK
Content-Type: application/json

{
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
}

{
  "sub": "johndoe",
  "iat": 1622567280,
  "exp": 1622570880,
  "roles": ["ROLE_USER"]
}

• sub: JWT의 주체로, 보통 사용자의 ID 또는 사용자명을 나타낸다.

• iat: JWT 발급 시간(Unix 타임스탬프)이다.

• exp: JWT 만료 시간(Unix 타임스탬프)으로, 이 시간이 지나면 토큰이 더 이상 유효하지 않다.

• roles: 사용자의 역할을 나타내며, 이를 통해 서버는 사용자의 권한을 판단할 수 있다.

2. JWT 전송 과정

💻 클라이언트 측: JWT 저장 및 전송

GET /api/protected-resource
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

3. 서버 측 JWT 검증 및 사용자 인증

🛠️ 서버 측: JWT 검증

1. JWT 추출: 서버는 요청의 Authorization 헤더에서 JWT를 추출한다.

String token = request.getHeader("Authorization").substring(7);

2. 서명 검증: 서버는 JWT의 서명을 확인하여 토큰이 변조되지 않았는지 검증한다. 서명 검증은 토큰의 서명을 생성할 때 사용한 비밀 키를 이용해 수행된다.

Claims claims = Jwts.parser()
                    .setSigningKey(secretKey)
                    .parseClaimsJws(token)
                    .getBody();

3. 만료 시간 확인: 서버는 JWT의 exp 클레임을 확인하여 토큰이 만료되었는지 검사한다. 만료 시간이 현재 시간보다 이전이라면, 토큰은 무효화된다.

Date expiration = claims.getExpiration();
if (expiration.before(new Date())) {
    throw new JwtException("Token is expired");
}

4. 사용자 정보 추출: JWT가 유효한 경우, 서버는 토큰의 페이로드에서 사용자 정보를 추출하고, 이를 통해 요청을 보낸 사용자가 누구인지 식별한다.

String username = claims.getSubject();

🔐 서버 측: 사용자 인증 처리

4. 요청 처리 및 응답

HTTP/1.1 200 OK
Content-Type: application/json

{
  "data": "protected information"
}