JWTデコーダー

JWT（JSON Web Token）とは？

JSON Web Token（JWT）は、RFC 7519 で定義されたコンパクトでURL安全なトークン形式です。クレームのセットをJSONオブジェクトとしてエンコードし、署名——オプションで暗号化——することで、受信者がデータが改ざんされていないことを検証できます。JWTは、REST API・シングルサインオンシステム・マイクロサービス認可におけるステートレス認証の事実上の標準です。

JWTの構造：Header · Payload · Signature

すべてのJWTは、ドットで区切られた3つのbase64urlエンコードセグメントで構成されています。HeaderとPayloadは通常のJSON——誰でも読めます——で、Signatureは正しいキーでのみ検証できる暗号値です。

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

JWTデコーダーを使う理由

生のJWTはランダムなテキストに見えます。このツールはHeaderとPayloadを即座にフォーマット済みJSONとして表示し、コードを1行も書かずにクレームを確認し、有効期限をチェックし、アルゴリズムの選択を監査できます。

標準JWTクレーム参照

RFC 7519は7つの登録済みクレーム名を定義しています。必須ではありませんが、相互運用性のために使用が強く推奨されます。Payloadには任意のカスタムクレームを追加できます。

JWT署名アルゴリズム

Headerクレームのalgは、トークンに署名したアルゴリズムを宣言します。選択はセキュリティ・パフォーマンス・サードパーティサービスが秘密鍵なしでトークンを検証できるかどうかに影響します。

セキュリティ上の注意事項

JWTのデコード自体は常に安全です。適切な署名検証なしにJWTを信頼することは安全ではありません。アプリケーションでトークンを使用する際は、常にこれらのルールを念頭に置いてください。

一般的なユースケース

コードでのJWTデコード

HeaderとPayloadはbase64urlエンコードされています——エンコードを逆にするだけです。base64urlは+を-に、/を_に置き換え、=のパディングを省略します。Signatureだけが秘密鍵を必要とします。

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

よくある質問