return claims.getExpiration .getTime

들어가며 JWT를 처음 배울 때 이런 말을 자주 듣는다. "JWT는 stateless라 서버에서 강제로 무효화할 수 없어요." 맞는 말이다. JWT는 서명(Signature)만 검증하기 때문에, 토큰이 만료되지 않으면 서버는 그 토큰을 유효한 것으로 인식한다. 그렇다면 로그아웃을 어떻게 구현해야 할까? 이 글에서는 CHEKET 프로젝트를 진행하면서 실제로 구현한 방식인 Redis 블랙리스트를 통한 JWT 무효화 전략을 정리한다. 목차 1. JWT의 문제점 — 왜 로그아웃이 어려운가 JWT가 stateless한 이유는 서버가 토큰 상태를 저장하지 않기 때문이다. 서버는 단순히 서명만 검증한다. 클라이언트: "이 토큰으로 API 요청할게요" 서버: "서명이 유효하네요. 통과!" 이 구조에서 로그아웃 API를 만들어봤자 클라이언트에서 토큰을 버리는 것에 불과하다. 서버는 여전히 그 토큰을 유효한 것으로 인식한다. 시나리오: 1. 사용자 로그아웃 → 클라이언트에서 토큰 삭제 2.