Node.js JWT 인증 완벽 가이드 — 토큰 발급과 검증을 구현하는 방법

비인증 영역을 보호하는 Node.js JWT 인증 방식 작동 원리

전통적인 세션(Session) 기반 회원 인증은 사용자가 로그인할 때마다 서버 디바이스의 RAM 메모리나 별도 데이터베이스 저장소에 세션 ID 값을 일일이 기록 보존해야 하므로, 서버 대수를 수평 증설(Scale-Out)할 때 로드밸런서 밑단에서 세션 세션 클러스터 동기화가 깨지는 인프라 장애를 수반합니다. JWT (JSON Web Token)는 서버가 세션 정보를 일절 저장하지 않는 Stateless(무상태) 인증의 정석입니다. 토큰이라는 압축 증명서 껍데기 내부에 인증 정보를 스스로 품고 다니다가, 요청이 올 때마다 서버가 키 값으로 변조 여부만 검증해 통과시키므로 다중 분산 클라우드 환경에서 매우 높은 확장성을 누리게 지켜줍니다.

jsonwebtoken 모듈을 이용한 Node.js JWT 토큰 발급 및 검증 헬퍼

Node.js 백엔드 구조 내에서 토큰 통제를 이행하려면 jsonwebtoken 패키지를 설치해 소환합니다. jwt.sign() 메서드를 통해 사용자 고유 번호와 역할 정보를 담아 토큰 서명을 굽고, jwt.verify() 메서드로 수신된 토큰의 위변조와 만료 시간 만료 여부를 판독합니다. 이때 서명 조율에 동원되는 마스터 비밀 키(Secret Key)는 소스 코드에 상수로 하드코딩해 커밋하면 깃허브 크롤러에 걸려 서버 탈취 공격 루트로 개방되므로, 반드시 .env 환경 변수 관리자 장막 뒤편으로 격리해 주어야 보안 무결성이 유지됩니다.

import jwt from 'jsonwebtoken';

const JWT_SECRET = process.env.JWT_SECRET || 'fallback-extremely-strong-secret';

interface TokenPayload {
  userId: number;
  role: string;
}

// 1. 보안 규격을 준수하는 짧은 만료 시간의 Access Token 발급
export function generateAccessToken(payload: TokenPayload): string {
  return jwt.sign(payload, JWT_SECRET, {
    algorithm: 'HS256',
    expiresIn: '15m' // 15분 후 만료
  });
}

// 2. algorithms 설정을 필수로 지정하여 검증 우회 공격 방어
export function verifyAccessToken(token: string): TokenPayload {
  return jwt.verify(token, JWT_SECRET, {
    algorithms: ['HS256'] // none 알고리즘 우회 공격 방지
  }) as TokenPayload;
}

보안 한계를 보완하는 Node.js Access 및 Refresh Token 이중화 전략

단일 Access Token 체계에서는 토큰을 탈취당했을 때 악의적인 제3자가 만료 시점까지 서버 데이터를 멋대로 긁어가는 탈취 피해를 강제로 무효화할 수 없습니다. 이 보안 리스크를 해소하기 위해 만료 주기가 짧은 Access Token(15분)과 만료 주기가 긴 Refresh Token(14일)의 이중화 구성을 이식해야 합니다. Access Token이 죽으면 클라이언트가 쿠키 백에 고이 보존 중이던 Refresh Token을 던져 검증을 거친 뒤 새로운 Access Token을 신속히 수혈받게 하죠. Refresh Token의 키 값들은 백엔드 PostgreSQL이나 Redis 데이터베이스에 매치 보관해 둠으로써, 유저가 브라우저 로그아웃 버튼을 누르는 즉시 해당 레코드를 삭제 처리해, 토큰 탈취 상태에서도 강제로 접속 능력을 상실(Blacklisting)시키도록 연동 구조를 다지는 것이 완벽한 보안의 지혜입니다.

algorithms 명시 등 Node.js JWT 인증 설계 시 필수 보안 항목

JWT 라이브러리 검증 체계에서 가끔 대형 침투 취약점을 유발하는 구멍은, 해커가 토큰 헤더 영역의 알고리즘 정보를 none(서명 검증 없음)으로 변조하여 전송했을 때 서버가 이를 통과시켜 버리는 사태입니다. 이를 방비하려면 jwt.verify() 호출 시 옵션 매개변수 항목 내에 algorithms: ['HS256'] 과 같이 **사용할 검증 알고리즘 규격을 명시적으로 강제 잠금해야 합니다.** 또한 토큰을 브라우저에 배포할 때는 로컬스토리지 전송 노출을 피하고, JavaScript 코드가 가로채지 못하도록 httpOnly 와 Secure 옵션을 활성화한 서버 사이드 쿠키 백에 담아 전송 통제해야 안전한 백엔드 환경이 성립됩니다.

// Express JWT 인증 가드 미들웨어
import { Request, Response, NextFunction } from 'express';

export function requireAuth(req: Request, res: Response, next: NextFunction) {
  const authHeader = req.headers.authorization;
  const token = authHeader && authHeader.split(' ')[1]; // Bearer 토큰 파싱

  if (!token) {
    return res.status(401).json({ success: false, message: '인증 토큰 누락' });
  }

  try {
    const decoded = verifyAccessToken(token);
    req.user = decoded; // 다음 라우터 컨트롤러로 유저 정보 전달
    next();
  } catch (err) {
    return res.status(403).json({ success: false, message: '만료되거나 변조된 토큰' });
  }
}