인증 오류를 조사하는 순서
1. Header와 Payload를 먼저 구분하세요
헤더의 alg·kid는 서명 방식과 키 선택을 위한 메타데이터이고, payload의 iss·aud·sub는 발급자·대상·주체를 나타냅니다. 이 도구는 값을 읽어 보여 줄 뿐, 헤더에 적힌 알고리즘을 신뢰해 서명을 검증하지 않습니다.
2. 발급자와 대상이 기대값과 같은지 비교하세요
아래 비교칸에 서비스 설정의 issuer와 audience를 넣으면 문자열을 비교합니다. 예를 들어 issuer 끝의 슬래시 한 글자가 다른 경우도 일치하지 않습니다. audience가 배열이면 기대값이 그 배열에 포함되는지 확인합니다. 일치하더라도 진짜 발급자가 만든 토큰인지는 알 수 없습니다.
3. 시간 조건과 실제 인증을 분리하세요
exp가 미래라도 nbf 이전이면 사용 시작 전입니다. 값이 문자열이거나 밀리초를 잘못 넣었는지도 점검하세요. 서버는 추가로 서명, 키·알고리즘, 발급자, 대상, 서비스별 권한과 폐기 정책을 확인해야 합니다.
샘플 사용과 공유
샘플은 검사용 가상 토큰이며 유효한 서명이 없습니다. 운영 토큰은 계정 접근에 쓰일 수 있으므로 공유하지 마세요. 도구 코드는 토큰을 저장하거나 서버로 보내지 않지만 페이지에는 외부 광고 스크립트가 있습니다. ‘지우기’는 화면만 초기화합니다.