はじめに

アクセストークンによる認証方式の一つである「JWT（JSON Web Token）」の仕組みについて整理する。

JWTの基本

JWTは次の3つの部分で構成されている。

<ヘッダー>.<ペイロード>.<署名>

それぞれの役割は以下の通り。

クライアントはサーバーから受け取ったJWTを、以後のリクエストに添えて送る。

サーバー側で @jwt_required() のような仕組みを使うと、以下の流れでトークンを検証する。

一致すれば「改ざんされていない＝サーバーが過去に発行したもの」と見なされる。

仮にユーザーがトークン内の user_id を書き換えて不正にアクセスしようとした場合、ペイロードが変更されたため、サーバーが再計算する署名とトークンに含まれている署名が一致しなくなる。結果としてトークンは無効と判断され、アクセスは拒否される。

この仕組みによって、JWTは「内容を保持しつつ、改ざんを防ぐ」ことができている。

JWTの特徴は「ステートレス」なこと。サーバーはセッション情報を保持する必要がなく、毎回トークンの署名を検証するだけで認証処理が完結する。そのため、サーバーのスケーラビリティが高く、大規模サービスにも向いている。

JWTは「署名」という仕組みを通じて、ユーザー情報が改ざんされていないことを保証する。サーバーは毎回トークンを受け取り、内部の署名を検証することで、改ざんされていないことを確認している。

この仕組みによって、セッションを持たずに安全かつ効率的な認証処理が可能になっている。