JSON Web Token（JWT） は、ユーザーに関する claim を運ぶ、コンパクトで URL セーフな自己完結型のトークンです。サーバーは一度だけ署名し、その後はデータベースの参照なしにリクエストごとにトークンを検証できます——これが JWT ベースの認証を ステートレス にするものです。
JWT は header.payload.signature、ドットで結合された 3 つの base64url エンコード済みセグメントです。
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ←
← payload (claims)
← signature
{ "alg": "HS256", "typ": "JWT" }。sub（subject/user id）、exp（有効期限）、iat（発行時刻）、iss（発行者）などの標準のものに加え、任意のカスタムフィールド（role、email）。payload はエンコードであって暗号化ではありません。誰でも base64 デコードして読めるので、パスワードや秘密情報を JWT に入れてはいけません。
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
リクエストごとに、サーバーは受け取った header+payload に対して署名を再計算し、比較します。一致し exp が未来であれば、トークンは信頼されます——セッションストアは不要です。
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // 改ざんまたは期限切れなら例外を投げる
// claims.sub === "123"
} catch (e) {
// 拒否: 無効または期限切れ
}
検証がステートレスであるため、トークンを期限前にサーバー側で「削除」するだけでは無効化できません。一般的な緩和策:
jti）の小さな denylist を保持してログアウト/漏洩に対処します——これは少しだけ状態を再導入します。| 保存先 | メリット | デメリット |
|---|---|---|
httpOnly cookie | JS から読めない（XSS により安全） | CSRF 対策が必要 |
localStorage | 単純、CSRF なし | XSS にさらされる |
JWT は API、マイクロサービス、SPA をまたぐステートレス認証を支えます——サービスは署名を検証するだけでリクエストを信頼でき、共有のセッションストアが要りません。しかし、そのステートレス性こそが古典的な面接の罠です: トークンは簡単には失効できず、payload は読め、alg の混同や有効期限チェックの欠落は現実の脆弱性です。署名が何を守り、何を守らないかを正確に知ることが、JWT を安全に使うために不可欠です。
ジュニアからシニアまで、詳細な回答付きのIT面接質問ライブラリ。
寄付する