취약한 JWT 검증

취약한 코드 (javascript)

// 취약한 코드 - alg 검증 없이 jwt 디코딩
const decoded = jwt.decode(token); // 서명 검증 없음!
// 또는 algorithms 미지정으로 none 허용
const decoded = jwt.verify(token, secret); // algorithms 미지정

안전한 코드 (javascript)

// 안전한 코드 - 알고리즘 명시 + 검증
const decoded = jwt.verify(token, process.env.JWT_SECRET, {
  algorithms: ['HS256'],  // 허용 알고리즘 명시적 지정
  issuer: 'myapp',
  audience: 'myapp-users',
});