概要

JWT コース

JSON Web Token の構造、claim、デコードと署名検証の違いを学びます。

このコースでは 認証・認可で使われる形式としての JSON Web Token を学びます。JWT デコーダーの使い方だけでなく、トークンの中身、重要な claim、デコードと信頼の違いを整理します。

対象者

  • Authorization: Bearer ... を含むリクエストを調査する開発者
  • OAuth、OpenID Connect、API gateway、セッション移行に関わるエンジニア
  • JWT をデコードしたあと、その結果を信頼してよいか迷ったことがある人

学ぶこと

  1. JWT の 3 つのパート構造
  2. alg や typ などの header
  3. exp、iat、nbf、iss、aud、sub などの claim
  4. decode と verify の違い
  5. 検証ミスとデバッグの進め方

関連する JWT Decoder で例を確認しながら進められます。ただし大事な考え方は一つです。読める claim は、信頼できる claim とは限りません。

レッスン 1 を始める
API デバッグにローカルブラウザーツールが役立つ理由ローカルブラウザーツールは、API デバッグでよくある整形、デコード、変換、比較を高速かつプライベートに進めるための作業場になります。JWT vs Session 認証Web アプリ、API、失効、スケーラビリティ、デバッグの観点から JWT ベースの認証とサーバー側 session を比較します。JWT のデコードと検証: 開発者が確認すべき違いJWT をデコードすると claim は読めますが、認可に使う前には署名、発行者、audience、有効期限などの検証が必要です。