JWTデコーダー

JSON Web Token（JWT、RFC 7519で定義）とは、ユーザーに関する一連のクレーム（claims）を、コンパクトでURLセーフな形式で表現する方法であり、それらのクレームが改ざんされていないことを暗号的に証明します。JWTは、最新のWebスタックの大半で認証を支えています。ログインすると、サーバーはあなたのユーザーIDと権限を含むJWTを作成し、シークレットキーで署名して返します。ブラウザはそのトークンを保存し（通常はlocalStorageまたはCookie内）、以降のすべてのリクエストのAuthorizationヘッダーに含めます。サーバーはリクエストごとに署名を検証します。署名が有効ならトークンのクレームは信頼され、改ざんされていれば署名が破綻してリクエストは拒否されます。JWTはBase64URLでエンコードされピリオドで区切られた3つの部分から成ります。ヘッダーは署名アルゴリズムを宣言します（HMAC-SHA256の場合はHS256、RSAの場合はRS256、ECDSAの場合はES256、署名なしトークンの場合はnone。これは危険であり拒否すべきです）。ペイロード（payload）には実際のクレームが含まれます（'sub'は主体、'exp'は有効期限、'iat'は発行日時といった標準クレームに加え、アプリケーションが定義する任意のカスタムクレーム）。署名は、ヘッダーとペイロードが、シークレットを保有する者によって署名されたことの証明です。このデコーダーは最初の2つの部分を明らかにします。これらは公開情報です。署名はキーがなければ検証できません。だからこそ、あらゆるJWTデコーダーは検証なしでクレームを表示するのです。