스프링 시큐리티: JWT(JSON Web Token) 인증 구현하기

이 글에는 JWT가 무엇인지, 어떻게 동작하는지, 그리고 언제 사용하면 좋은지 정리했습니다.

시나리오 설정

이 글에서 다루는 예제는 대략 이런 환경을 기준으로 합니다.

이때 실제로 오가는 HTTP 요청은 아래와 같이 가정합니다.

구분	메서드	엔드포인트	요청 바디 예시	응답 바디 예시
로그인	POST	/api/auth/login	{ "email": "user@example.com", "password": "pass" }	{ "accessToken": "JWT...", "expiresIn": 3600 }
현재 사용자 조회	GET	/api/users/me	(바디 없음, Authorization 헤더에 토큰)	{ "id": 1, "email": "user@example.com", "name": "사용자" }

필터 체인은 DispatcherServlet 이전에 동작하므로, @ExceptionHandler가 동작하지 않습니다. 필터 안에서 직접 응답을 작성하거나, AuthenticationEntryPoint를 커스터마이징해야 합니다.

토큰이 없는 요청(공개 API)과 토큰이 잘못된 요청을 구분해야 합니다. 토큰이 없으면 필터를 통과시키고(chain.doFilter), 토큰이 있지만 잘못되었으면 401을 반환합니다.