JWTの作り方（JSON Web Token）

1

JWTとは

JWT（JSON Web Token）は、ウェブアプリケーションで「ログイン済みであること」を証明するためのトークンです。誰が作るのか？ — サーバー（バックエンド）が作ります。ユーザーがIDとパスワードでログインに成功したとき、サーバーが「この人は認証済みです」という情報を詰め込んだJWTトークンを生成し、ブラウザに返します。いつ使うのか？ — ログイン後のすべてのリクエストで使います。ブラウザはサーバーから受け取ったJWTを保存しておき、APIにアクセスするたびに「Authorization: Bearer eyJhbG...」というHTTPヘッダーに添えて送ります。サーバーはこのトークンを検証するだけで、誰からのリクエストかを判断できます。セッションIDと違い、サーバー側でログイン状態を記憶しておく必要がありません（ステートレス）。トークン自体にユーザー情報が含まれているため、データベースを参照せずに認証を確認できます。Auth0、Firebase Authentication、AWS Cognitoなどの認証サービスで広く使われています。

2

JWTの特徴

• 📦ステートレス：サーバー側でセッション状態を保持しない。トークン自体に必要な情報が含まれる
• 📋自己完結型：ユーザー情報（claims）がトークン内に含まれているため、毎回DBを参照する必要がない
• 🛡改ざん検知：署名により内容の改ざんを即座に検知できる。上のツールで「改ざん検知」シナリオを試してみてください
• ⏰有効期限付き：expクレームにより自動的にトークンが無効化される。上のツールで「有効期限切れ」シナリオで確認できます
• ⚠暗号化ではない：ペイロードはBase64URLエンコードされるだけで暗号化されない。パスワード等の秘密情報は絶対に入れてはいけない

3

ユースケース

4

用語解説

🔏

JWS（JSON Web Signature）とは

JWT は実は「フォーマットの名前」で、実際のトークンの実装方式として JWS（署名付き）と JWE（暗号化）の2種類があります。一般的に「JWT」と言ったときはほぼ JWS のことを指します。

JWS は「中身は誰でも読めるが、改ざんされていないことを署名で保証する」という仕組みです。暗号化ではないので、ペイロードを Base64URL デコードすれば誰でも読めます。

5

JWTの構造

JWTトークンは、3つのパートをドット（.）で繋いだ1本の文字列です。見た目は意味不明な英数字の羅列ですが、ドットで区切ると役割がはっきり分かれています。

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_1234",
  "name": "田中太郎",
  "role": "user",
  "iat": 1709280000,
  "exp": 1709366400
}

HMAC-SHA256(
  base64url(header)
  + "." +
  base64url(payload),
  secret_key
)

6

登録済みクレーム一覧

7

JWT検証の手順

8

セキュリティの注意点