JWT（JSON Web Token）は API 認証でよく使われますが、

「JWT の exp（有効期限）って変更できる？延長できる？」

と疑問に思う人は多いです。

この記事では、クライアント側・サーバ側の両方から、

を図解つきで説明します。

唯一可能なのは：

✔ 新しい JWT を再発行すること（延長＝再発行）

以下の図は、「exp を書き換えると必ず失敗する」仕組みを示しています。

✔ 重要ポイント

サーバには秘密鍵があるので「書き換えられそう」に感じますが、それは 既存トークンの編集ではなく“別の新しいトークン”を作ること。

つまり：

既存JWTは immutable（不変）。
作り直す＝新しいJWTとして再発行するだけ。

変更ではなく交換です。

JWT を延長する唯一の方法は、

✔ 新しい JWT を再発行すること

（多くの場合 Refresh Token を使う）

✔ この仕組みで “延命” を実現しているだけ

exp を変えているのではない。

以下のようなバグがある場合だけ、exp 改ざんが成功する：

これらは 実装の脆弱性 であり、JWT の設計とは無関係。

正常実装では絶対に起こらない。