JWT をデコードする方法
- トークンを貼り付けます（先頭の
Bearerは自動で取り除かれます）。 - デコードされたヘッダーとペイロードを整形済みの JSON で確認し、クレーム表で有効期限や発行日時をチェックします。
- 必要に応じて署名を検証を開き、HMAC シークレットまたは PEM 形式の公開鍵を入力します。
JWT の構造
JSON Web Token は、Base64URL でエンコードされた 3 つのパートをドットでつないだものです：header.payload.signature。ヘッダーには署名アルゴリズム（HS256 や RS256 など）、ペイロードにはクレームが含まれ、署名は最初の 2 つのパートが改ざんされていないことを証明します。
登録済みクレーム
iss：トークンの発行者sub：ユーザーなどの主体（サブジェクト）aud：トークンの想定される受信者（オーディエンス）exp、nbf、iat：有効期限、有効開始日時、発行日時（Unix タイムスタンプ）jti：トークンの一意な ID
よくある質問
ここにトークンを貼り付けても安全ですか？
トークンはブラウザ内でデコードされ、外部に送信されることはありません。ただし、有効なトークンはパスワードと同様に扱い、他人と共有しないようにしてください。
JWT のペイロードは誰でも読めるのですか？
はい。署名付き JWT は Base64URL でエンコードされているだけで暗号化はされていないため、ペイロードに機密情報を入れてはいけません。内容が隠されるのは、暗号化されたトークン（JWE）だけです。
署名が自動でチェックされないのはなぜですか？
署名の検証には、発行者のシークレットまたは公開鍵が必要です。「署名を検証」に入力してください。HS、RS、PS、ES の各アルゴリズムに対応しています。