JWTJSON Web Token

JWT は、Base64URL エンコードした「Header.Payload.Signature」の3パートをドットで連結する自己完結型トークンで、サーバーが状態を持たずに認証情報を伝達できる仕組みです。Header にアルゴリズム (alg=HS256/RS256/ES256/EdDSA 等) を、Payload に iss/sub/aud/exp/iat/nbf/jti などの予約クレームとカスタムクレームを格納します。Signature で改ざんを検知できますが暗号化はされない (内容が読める) 点に注意が必要で、機密情報を入れるには JWE (RFC 7516) を使います。「alg=none」脆弱性や鍵取り違え (HS256/RS256混在) の攻撃が知られており、jose ライブラリで厳格に検証することが必須です。短い有効期限 + Refresh Token + JTI ブラックリスト で漏洩耐性を高めます。