JWTデコーダ — JSON Webトークンを検査

JWTトークンはBase64エンコードされたクレームを含み、見た目には判読不能です。JWTデコーダはヘッダー・ペイロード・署名を読みやすいJSONで表示——アプリを起動せずにデバッグできます。

JWTとは？

JSON Webトークンはドットで区切られた3部分で構成：ヘッダー（アルゴリズムタイプ）・ペイロード（ユーザーロールや有効期限などのクレーム）・署名。ヘッダーとペイロードはBase64urlエンコード——暗号化ではありません。

デコード vs. 検証

デコードは署名確認なしに内容を表示します。検証は秘密鍵で署名の正当性を確認します。デバッグにはデコードで十分。本番環境ではクレームを信頼する前に必ず検証してください。

よく使われるJWTクレーム

sub（サブジェクト）、iat（発行日時）、exp（有効期限）、iss（発行者）、aud（対象）。expとiatはUnixタイムスタンプです。署名が正しくても有効期限切れのJWTは無効です。