JWT

// JWT 생성 및 검증 - Node.js jsonwebtoken
const jwt = require('jsonwebtoken');
const crypto = require('crypto');

class JWTManager {
    constructor(secretKey = null) {
        this.secretKey = secretKey || crypto.randomBytes(32).toString('hex');
        this.accessTokenExpire = '30m';  // 30분
        this.refreshTokenExpire = '7d';  // 7일
    }

    // Access Token 생성
    createAccessToken(userId, roles = []) {
        return jwt.sign(
            {
                sub: userId,
                roles: roles,
                type: 'access'
            },
            this.secretKey,
            {
                algorithm: 'HS256',
                expiresIn: this.accessTokenExpire
            }
        );
    }

    // Refresh Token 생성
    createRefreshToken(userId) {
        return jwt.sign(
            {
                sub: userId,
                type: 'refresh',
                jti: crypto.randomBytes(16).toString('hex')
            },
            this.secretKey,
            {
                algorithm: 'HS256',
                expiresIn: this.refreshTokenExpire
            }
        );
    }

    // 토큰 검증
    verifyToken(token) {
        try {
            return jwt.verify(token, this.secretKey);
        } catch (error) {
            if (error.name === 'TokenExpiredError') {
                console.log('토큰이 만료되었습니다');
            } else {
                console.log(`유효하지 않은 토큰: ${error.message}`);
            }
            return null;
        }
    }

    // 토큰에서 페이로드 추출 (검증 없이)
    decode(token) {
        return jwt.decode(token, { complete: true });
    }
}

// Express 미들웨어 예시
const authMiddleware = (jwtManager) => {
    return (req, res, next) => {
        const authHeader = req.headers.authorization;

        if (!authHeader || !authHeader.startsWith('Bearer ')) {
            return res.status(401).json({ error: 'No token provided' });
        }

        const token = authHeader.split(' ')[1];
        const payload = jwtManager.verifyToken(token);

        if (!payload) {
            return res.status(401).json({ error: 'Invalid token' });
        }

        req.user = payload;
        next();
    };
};

// 사용 예시
const jwtManager = new JWTManager();

// 로그인 API
const login = (userId, roles) => {
    return {
        accessToken: jwtManager.createAccessToken(userId, roles),
        refreshToken: jwtManager.createRefreshToken(userId),
        expiresIn: 1800 // 30분 (초)
    };
};

// 토큰 갱신 API
const refreshTokens = (refreshToken) => {
    const payload = jwtManager.verifyToken(refreshToken);

    if (!payload || payload.type !== 'refresh') {
        throw new Error('Invalid refresh token');
    }

    return {
        accessToken: jwtManager.createAccessToken(payload.sub),
        // Refresh Token Rotation: 새 Refresh Token도 발급
        refreshToken: jwtManager.createRefreshToken(payload.sub)
    };
};

console.log(login('user123', ['admin']));

JWT 구조 분석
==============

JWT 형식: xxxxx.yyyyy.zzzzz
          Header.Payload.Signature


1. Header (헤더) - Base64Url 인코딩
====================================
{
  "alg": "HS256",    // 서명 알고리즘
  "typ": "JWT"       // 토큰 타입
}

인코딩: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9


2. Payload (페이로드) - Base64Url 인코딩
========================================
{
  // 등록된 클레임 (Registered Claims)
  "iss": "https://api.example.com",  // 발급자
  "sub": "user_12345",               // 주제 (사용자 ID)
  "aud": "https://app.example.com",  // 대상자
  "exp": 1735689600,                 // 만료 시간 (Unix timestamp)
  "nbf": 1735686000,                 // 유효 시작 시간
  "iat": 1735686000,                 // 발급 시간
  "jti": "unique-token-id-123",      // JWT ID (고유 식별자)

  // 사용자 정의 클레임
  "roles": ["user", "admin"],
  "permissions": ["read", "write"]
}


3. Signature (서명)
====================
HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)


완성된 JWT 예시
================
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiJ1c2VyXzEyMzQ1IiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWUsImlhdCI6MTUxNjIzOTAyMn0.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c


알고리즘 선택 가이드
====================
HS256 (HMAC + SHA-256)
- 대칭키: 같은 키로 서명/검증
- 단일 서비스, 간단한 구조에 적합
- 키 공유 필요

RS256 (RSA + SHA-256)
- 비대칭키: 개인키 서명, 공개키 검증
- 마이크로서비스, 외부 연동에 적합
- 인증 서버만 개인키 보유

ES256 (ECDSA + SHA-256)
- 비대칭키: 더 짧은 키 길이로 동등 보안
- 모바일/IoT 환경에 적합