JWT デバッグワークフロー

API が 401 Unauthorized や 403 Forbidden を返すとき、JWT をデコードすると問題を素早く絞れます。

形から始める

トークンが 3 セグメントあり、コピー、プロキシ、ヘッダー制限、折り返しで切り詰められていないことを確認します。

時間 claim を調べる

exp、nbf、iat を確認。

• exp が過去なら、新しいトークンを要求。
• nbf が未来なら、クロックスキューまたは環境時刻の誤りを疑う。
• iat が意外なら、クライアントが期待する issuer を使っているか確認。

issuer と audience を確認

iss と aud を呼び出し先 API と比較。よくある OAuth バグは、アクセストークンが必要な場所で ID トークンを使うこと。

scope と role を確認

認証は成功するが認可が失敗する場合、scope、scp、roles、permissions、またはプロバイダー相当フィールドを調べます。

実システムで検証

デコードが方向を示したら、実際のバックエンド verifier でリクエストを再現。デコーダーはトークンを説明する; verifier が受け入れるか決める。