JWTの中身を確認する方法｜改ざんが検知される仕組み

JWTの構造

JWTは Header.Payload.Signature の3つをドット（.）で繋いだ文字列です。

• Header — アルゴリズム情報（HS256など）
• Payload — ユーザーID、有効期限などの実データ
• Signature — 改ざん検知用の署名

HeaderとPayloadは Base64Urlエンコードされているだけ なので、デコードすれば中身が読めます。

デコードして中身を確認する

例えば、以下のようなJWTの場合：

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0IiwibmFtZSI6IlRhcm8ifQ.xxxxx

2番目の部分（ペイロード）をBase64デコードすると：

{
  "sub": "1234",
  "name": "Taro"
}

「認証が通らない」「権限が反映されない」といった不具合のデバッグでは、まずペイロードの中身を確認するのが第一歩です。

改ざんが検知される仕組み

「ペイロードを書き換えたらどうなるか？」——サーバーが署名で弾きます。

サーバーはJWT発行時に、秘密鍵を使ってHeaderとPayloadからシグネチャを計算しています。ペイロードが1文字でも変わると計算結果が変わるため、送られてきた署名と一致しなくなります。

結果：401 Unauthorized が返される。

関連記事

この記事は セキュリティ テーマの一環です。あわせて読むと理解が深まる関連記事をまとめました。