JWT 토큰 보안 주의사항이 있나요?

JWT 보안 주의사항:

1. 알고리즘 혼동 공격 방지
   • 서버에서 허용 알고리즘을 명시적으로 지정
   • "alg": "none" 절대 허용하지 않기
2. 시크릿 키 관리
   • 충분히 긴 랜덤 키 사용 (최소 256bit)
   • 코드에 하드코딩 금지
3. 토큰 저장 위치
   • localStorage → XSS에 취약
   • HttpOnly 쿠키 → CSRF 주의하되 더 안전
4. 만료 시간 설정
   • access token: 15분~1시간
   • refresh token: 7~30일
5. 민감 정보 넣지 않기
   • JWT payload는 Base64 디코딩만 하면 누구나 읽을 수 있음

JWT는 편리하지만 무효화(revoke)가 어렵다는 단점이 있습니다. 로그아웃 시 블랙리스트를 관리하거나 짧은 만료를 쓰세요.