JWT

どんな仕組みか

JWT（JSON Web Token）は、署名付きで自己完結したトークンです。中身に「誰か」「いつまで有効か」といった情報（クレーム）を持ち、それ全体に署名が付くことで、受け取った側が改ざんを検知できます。

「自己完結」が肝で、トークン自体に必要な情報が入っているため、サーバ側にセッションを保持しなくても検証できます。

どう動くのか

JWT は 3 つの部分をドット区切りでつないだ文字列です。

header.payload.signature
- header:    署名アルゴリズムなど
- payload:   クレーム（sub, exp など）
- signature: header と payload への署名

受け取った側は署名を検証し、改ざんされていないこと、有効期限内であることを確認します。サーバに問い合わせず手元で検証できるため、ステートレスに扱えます。

他の方式との違い

サーバ側にセッション情報を持つ伝統的なセッション方式と対照的です。

• セッション：状態はサーバが持つ。失効させやすいがストアが要る
• JWT：状態はトークン自身が持つ。ストア不要だが失効させにくい

スケールしやすさと引き換えに、発行後の無効化が難しい、という性質を理解しておく必要があります。

使いどころ・注意点

複数のサーバにまたがる API 認可や、サーバ間でセッションを共有したくない構成に向きます。一方で、いったん発行した JWT は有効期限が切れるまで原則として使えてしまい、即時の失効が困難です。

• 有効期限は短めにし、更新はリフレッシュトークンで行う
• 署名はされるが暗号化はされない（中身は読める）ため、機密情報は入れない