JWT トークンをデコードして検査する方法

JSON Web Token(JWT)は、最新の Web アプリケーションで認証を扱うもっとも一般的な方法です。認証関連で問題が起きたとき — ユーザーが理由なくログアウトされたり、権限が間違っていたり、API が 401 を返したり — JWT のデコードはたいてい最初のデバッグステップになります。

JWT に含まれるもの

JWT はピリオドで区切られた 3 つの部分から成ります:

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U

ヘッダー — アルゴリズム(HS256、RS256 など)とトークンの種類が含まれます。

{"alg": "HS256", "typ": "JWT"}

ペイロード — ユーザーやトークンに関するクレーム(主張)が含まれます。

{"sub": "1234567890", "name": "Alice", "exp": 1700000000}

署名 — トークンが改ざんされていないことを保証する暗号学的フィンガープリントです。署名鍵がなければ読み取れません。

よくある JWT クレーム

JWT をデコードする方法

1. トークンを貼り付ける — 完全な JWT(header.payload.signature 形式)をデコーダーに入力します。
2. デコードされたセクションを確認 — ツールはヘッダー(アルゴリズム)、ペイロード(クレーム)、署名を整形済み JSON として表示します。
3. クレームを検証 — 有効期限、発行者、サブジェクト、その他のカスタムクレームを確認します。

JWT を使ったデバッグ

トークンが期限切れ? exp クレームをチェックします。Unix タイムスタンプを読める日付に変換してみてください。すでに過ぎていれば、トークンは期限切れで再発行が必要です。

権限がおかしい? ペイロード内のロールやスコープのクレームを探します。実装によって異なりますが、"role": "admin" や "scope": "read write" のようなものが多いです。

ユーザー ID の問題? sub クレームがユーザーを識別します。期待される ID と一致するか確認してください。

トークンが拒否された? aud(audience)クレームをチェックします。API が特定の audience を期待していて、トークンに別の値が入っていれば拒否されます。

重要なセキュリティ上の注意

• JWT は暗号化されていません — 誰でもペイロードをデコードできます。パスワード、API キー、その他の機密情報を JWT に入れてはいけません。
• 署名は必ずサーバー側で検証する — デコーダーはトークンが何を主張しているかを示しますが、改ざんされていないことを証明できるのは署名検証だけです。
• 有効期限をチェック — 期限切れのトークンは常に拒否すべきです。アプリが期限切れのトークンを受け入れているなら、それはセキュリティ上の欠陥です。