JWT 생성기

클레임을 채우고 비밀 열쇠를 넣으면 서명된 토큰이 나옵니다. 아래에 세 토막을 풀어 보여 주므로 무엇이 들어갔는지 그대로 확인할 수 있습니다.

JWT 디코더의 짝입니다. 그쪽은 받은 토큰을 뜯어 보고, 이쪽은 보낼 토큰을 만듭니다. API 를 시험하거나 만료 처리가 되는지 확인하려면 손으로 토큰을 만들어야 하는데, 그러려면 보통 스크립트를 짜거나 서버를 띄워야 합니다.

시각은 밀리초가 아니라 초입니다. Date.now() 를 그대로 exp 에 넣으면 만료가 서기 5만 년이 되어 어떤 검증기도 받아 주지 않습니다. 이름을 붙여 둘 만큼 흔한 실수입니다.

JWT 는 서명될 뿐 가려지지 않습니다. 페이로드는 base64 일 뿐이라 토큰을 가진 사람은 모든 클레임을 읽습니다. 비밀번호·주민번호·카드 정보를 넣을 자리가 아니며, 그렇게 보이는 이름이 있으면 경고를 띄웁니다.

비밀 열쇠는 해시 출력만큼은 길어야 합니다. HS256 이면 32바이트입니다. 짧은 열쇠는 붙잡은 토큰 하나만으로 오프라인에서 깨지고, 그러면 누구나 서버가 믿는 토큰을 만들어 낼 수 있습니다.

직접 적은 클레임은 표준 클레임 위에 얹힙니다. 이름이 겹치면 적은 쪽이 이깁니다.

서버로 아무것도 보내지 않습니다. 브라우저 안에서 만들고 서명합니다.