JWT
What — 「誰が・いつまで・何をしていいか」を運ぶ文字列
JWT（JSON Web Token・読みは「ジョット」）は、「誰が・いつまで・何をしていいか」を1本の文字列に詰めて運ぶ書式。ピリオドで3つに割れる。
eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJpbXV0YXJvIn0.dBjftJeZ4CVP
└─── ヘッダ ───┘ └─── ペイロード ───┘ └─ 署名 ─┘
| 部品 | 中身 | 役割 |
|---|---|---|
| ヘッダ | {"alg":"HS256"} | 署名の方式 |
| ペイロード | {"sub":"imutaro","exp":1755500000} | 本体。誰か・期限・権限 |
| 署名 | サーバーの秘密鍵で計算した値 | 偽造検知 |
ペイロードは暗号化されておらず、デコードすれば誰でも読める。それでも偽造できないのは、1文字でも書き換えると署名の計算が合わなくなるから。守っているのは機密性ではなく改ざん検知。
どこで使われているか — ログインの裏側
Bearer で運ばれてくる文字列の中身が、たいてい JWT。出会う場面は3つ。
- Web アプリのログイン — ログイン成功時にサーバーが発行し、以降のリクエストに毎回載って往復する
- 「◯◯でログイン」 — OAuth2 で発行されるアクセストークンの書式が JWT のことが多い
- サービス同士の認証 — Cloud Run のサービス間呼び出しなど、人間不在で機械が身分を示す場面
この書式が選ばれる理由は、署名の検証だけで本人確認が完結するから。サーバーが何台に増えても、ログイン中の台帳を全台で共有しなくていい。
この知識をいつ使うか — 401 のデバッグ
401 が返ったら、トークンをデコーダ（jwt.io 等）に貼って exp（期限）を見る。期限切れならトークンを取り直すだけで直る。中身が読める書式だからこそできる切り分け。
落とし穴：
- 発行後に取り消せない — 台帳を引かないことの裏返しで、ログアウトしてもトークンは期限まで有効。期限が数分〜数時間と短いのはこの弱点への対処
- ペイロードに秘密情報を入れない — 誰でも読めるので、入れていいのはユーザーID・期限・権限の範囲まで
関連
Table of contents