はじめに

JWT（JSON Web Token）は、ユーザー認証や情報の安全な送信に使われるトークンベースの認証技術です。この記事では、JWTの仕組み、構造、使用方法、そしてセキュリティ面について詳しく解説します。

JWTについて

概要

JWTは、主に次のような場面で使用されます。

• ユーザー認証: サーバーは認証後にクライアントにJWTを発行し、クライアントは後のリクエストでそのトークンを使って認証を行います。
• 情報の安全な送信: JWTは署名されているため、内容が改ざんされていないことを保証できます。

JWTの最大の利点は、ステートレスである点です。サーバー側でセッションを保持する必要がなく、トークン内にユーザー情報を含めることで、クライアントからのリクエストごとに再度認証を行う手間が省けます。

構造

JWTは3つの部分に分かれており、それぞれ「ドット（.）」で区切られています：

• Header（ヘッダー）: アルゴリズムやトークンのタイプを指定します。
• Payload（ペイロード）: ユーザー情報やその他のデータを含みます。
• Signature（署名）: JWTの内容が改ざんされていないことを証明します。

Header

ヘッダーには、JWTの署名を生成するために使用されるアルゴリズムとトークンのタイプ（通常は「JWT」）が含まれます。

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

ペイロードには、ユーザーに関する情報（クレームと呼ばれる）やトークンの有効期限などが含まれます。クレームには標準クレームとカスタムクレームがあります。

標準クレーム: 予め定義されているクレームです。

• iss: 発行者（Issuer）
• sub: 主題（Subject、ユーザーIDなど）
• exp: 有効期限（Expiration Time）

カスタムクレーム: アプリケーション独自の情報を含めることも可能です。

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

Signature

JWTの内容が改ざんされていないことを保証するための署名部分です。ヘッダーとペイロードを結合し、サーバー側の秘密鍵を使って署名が生成されます。例えば、HS256アルゴリズムを使った場合の署名生成方法は以下の通りです。

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret)

流れ

1. クライアントの認証リクエスト: クライアント（ブラウザやモバイルアプリ）がユーザー名とパスワードを送信します。
2. サーバーで認証: サーバー側でユーザー情報を確認し、正しければJWTを生成してクライアントに返します。
3. クライアントのトークン保存: クライアントは受け取ったJWTをlocalStorageやsessionStorageに保存します。
4. 後続リクエストにJWTを付与: クライアントはその後のリクエストのHTTPヘッダーにJWTを含めます。

Authorization: Bearer <JWT>

1. サーバーでJWTの検証: サーバーはJWTの署名を検証し、改ざんされていないか確認します。トークンが有効であればリクエストが処理されます。

メリット

• ステートレス: セッションをサーバーに保存せず、スケーラビリティが高い。
• セキュリティ: 署名によりデータの改ざんを防止。
• 柔軟性: ユーザー情報やその他のデータをペイロードに含めることができる。

デメリット

• サイズが大きい: セッションIDの代わりにJWTを使用すると、トークンのサイズが大きくなる可能性があり、ネットワークトラフィックが増加する。
• 有効期限の管理が必要: 一度発行されたトークンは、有効期限が切れるまで有効であるため、途中で取り消すことが難しい。

セキュリティ面での考慮

• HTTPSの使用: JWTは平文で情報を保持するため、通信時にはHTTPSを必ず使用して内容の盗聴を防ぐ。
• 短い有効期限を設定: トークンが長期間有効なままだと、万が一流出した場合に被害が拡大するため、短い有効期限を設定し、定期的に再認証を行う。
• トークンの保管場所: トークンはlocalStorageやsessionStorageに保存されることが多いが、クロスサイトスクリプティング（XSS）攻撃に対して脆弱であるため、適切な対策を講じる必要がある。

まとめ

JWTは、ユーザー認証や情報の安全な送信に非常に有効な技術です。サーバー側でセッションを保持せずに、ユーザー情報を安全に管理できるという利点があります。しかし、使用する際にはセキュリティに十分配慮し、トークンの管理や通信の保護を適切に行うことが重要です。