JWT

どんな仕組みか

JWT（JSON Web Token）は、署名付きで自己完結したトークンです。中身に「誰か」「いつまで有効か」といった情報（クレーム）を持ち、それ全体に署名が付くことで、受け取った側が改ざんを検知できます。

「自己完結」が肝で、トークン自体に必要な情報が入っているため、サーバー側にセッションを保持しなくても検証できます。

横にスクロール

どう動くのか（構造）

JWT は 3 つの部分を Base64URL でエンコードし、ドット区切りでつないだ文字列です。

header.payload.signature
- header:    署名アルゴリズム(alg)・型(typ)
- payload:   クレーム(sub 主体, exp 期限, iat 発行時刻, iss 発行者, aud 対象)
- signature: header と payload への署名

受け取った側は署名を検証し、改ざんされていないこと、exp が有効期限内であること、iss／aud が期待どおりかを確認します。サーバーに問い合わせず手元で検証できるため、ステートレスに扱えます。

署名方式には、共有秘密鍵の HMAC（HS256 など） と、公開鍵・秘密鍵の RSA/ECDSA（RS256・ES256 など） があります。発行者だけが秘密鍵を持ち、検証側は公開鍵で確認する後者は、鍵配布を伴う分散構成に向きます。

他の方式との違い

サーバー側にセッション情報を持つ伝統的な セッション方式 と対照的です。

スケールしやすさと引き換えに、発行後の即時無効化が難しい、という性質を理解しておく必要があります。

使いどころ・注意点

複数のサーバーにまたがる API 認可や、サーバー間でセッションを共有したくない構成、OIDC の ID トークンとして広く使われます。

総じて JWT は、ステートレスに検証できる自己完結トークンとして分散 API 認可に強い一方、即時失効の弱さと署名検証の落とし穴を理解して使うことが重要です。