JWT の基本とトークン構造

JWT（JSON Web Token）は、ユーザー認証や情報の保持に使われるトークン方式であり、以下の 3 つの要素で構成されます。

ヘッダ（Header）
- 暗号化アルゴリズム（例: HS256）
- トークンのタイプ（通常は "JWT"）
ペイロード（Payload）
- ユーザー情報（個人情報は含めない）
- 発行時間（iat）、有効期限（exp）などのメタ情報
署名（Signature）

ヘッダとペイロードを秘密鍵で署名する
JWT は改ざん防止されるが、暗号化されていないため、ペイロードの情報は見られるところにおくと誰でもデコードして内容を見ることができる。
そのため、パスワードや個人情報を含めるのはNG！

推奨される JWT 生成方法

// jwtsecret は base64エンコードされた秘密鍵情報
// JWT_SECRET を Base64 デコードして Key オブジェクトを作成
byte[] keyBytes = Decoders.BASE64.decode(jwtSecret);
Key key = Keys.hmacShaKeyFor(keyBytes);

String token = Jwts.builder()
                .subject(oauth2User.getName())  // ユーザー識別子
                .issuedAt(new Date())          // 発行時間
                .expiration(new Date(System.currentTimeMillis() + 86400000))  // 有効期限 1日
                .signWith(key)                 // 署名の適用（生の文字列を禁止）
                .compact();

新しい Jwts.builder() の改善点
✅ signWith(key) に変更 → Base64 デコードした Key オブジェクトを必須に
✅ 生のパスワード文字列を誤って使うリスクがなくなった
✅ null の場合はプロパティを生成しないため、コンパクトなトークンが作成される

現在は推奨されていない JWT 生成方法

emailをプロパティとしてtoken生成しているのでアンチパターンでもあります

String token = Jwts.builder()
                .setSubject(oauth2User.getName())
                .claim("email", email)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 86400000))  // 有効期限を1日に設定
                .signWith(SignatureAlgorithm.HS256, JWT_SECRET) 
                .compact();

JWTのアンチパターン

JWT は署名による改ざん防止はできるが、ペイロードの内容は誰でも閲覧可能！
そのため、以下のような個人情報は絶対に含めてはいけません！

{
  "user_id": "12345",
  "email": "user@example.com",
  "password": "secret123"
}

JWT に個人情報を入れてはいけない理由
❌ JWT の内容は Base64 デコードすれば誰でも見られる
❌ 攻撃者が取得した場合、情報漏洩のリスク
❌ ログやデバッグ時にトークンの内容が記録される可能性あり

対策
✅ 個人情報は JWT に含めず、暗号化されたセッションストレージに保存する
✅ 短い有効期限 (exp) を設定し、長期トークンはリフレッシュトークンを使用する

まとめ

JWT の実装ポイント
✅ 推奨: signWith(key) に変更し、秘密鍵は Base64 デコードして Key オブジェクト化する
✅ JWT にパスワードや個人情報を含めない！

JWT を正しく使えば、セキュアで拡張性のある認証システムを構築できる！
間違った実装を防ぎ、安全に運用しよう！🔥