Third-party 전송 없는 Client-side JWT Decoding을 통한 자격 증명 유출 방지

Context

JWT 디버깅 시 jwt.io와 같은 외부 도구에 토큰을 입력하여 Payload를 확인하는 관행 존재. 이 과정에서 TLS Handshake, Server Log, CDN Edge Cache 등 제3자 인프라에 민감한 인증 정보가 노출되는 보안 취약점 발생.

Technical Solution

• JWT 구조상 Header와 Payload는 Encryption이 아닌 Base64url-encoding 방식임을 활용한 설계
• 서버 사이드 연산 없이 Browser JavaScript Runtime의 atob() 함수를 통한 로컬 디코딩 수행
• split('.')으로 세그먼트를 분리하고 특수문자(-, _)를 치환하여 표준 Base64 포맷으로 변환하는 로직 적용
• Network Request를 완전히 배제한 Client-side Only 아키텍처 채택으로 데이터 외부 유출 경로 차단
• Service Account 및 Admin Token 등 고권한 자격 증명의 전송 리스크를 원천 제거하는 로컬 처리 방식 지향