IT用語
利用者の情報や権限を、署名付きのJSONで表したトークン。APIの認証やログイン状態の受け渡しに使う。
- 別名・略称
- JSON Web Token
JWT（JSON Web Token、ジョット）は、利用者の ID や権限などの情報を JSON で表し、改ざんされていないことを確かめられるよう署名を付けたトークンです。API の認証や、SSO・OAuth での情報の受け渡しなどに使われます。
構成
「ヘッダー.ペイロード.署名」の 3 つの部分を「.」でつないだ文字列です。
- ヘッダー：署名の方式など
- ペイロード：利用者の ID、有効期限、権限などの情報
- 署名：ヘッダーとペイロードが改ざんされていないことを確かめるための値
注意点
- ペイロードは暗号化されておらず、誰でも中身を読める。パスワードなどの秘密の情報を入れない
- 受け取った側は、必ず署名と有効期限を検証する。署名の方式を「none」にした改ざんを受け入れてしまう不備が、過去に多く見つかっている
- 一度発行すると、有効期限までは取り消しにくい。有効期限を短くし、必要に応じて取り消しの仕組みを用意する
- ブラウザに保存する場合は、XSS で盗まれないよう保存場所に注意する
