jwt 쓰면 굳이 이 공격 고려할 필요가 없지 않나?