JWTとは

JSON Web Token (JWT) は、転送される情報をコンパクトにまとめられたURLセーフなトークン(メッセージ)です。
JWTは、ドット(.) で連結された３つの要素、ヘッダー(Header)、ペイロード(Payload)、署名(Signature)で構成されます。

ヘッダー：キー識別子、署名アルゴリズムなど、JWT に関するメタデータが含まれています。
ペイロード：メッセージ本文にあたります。JSON 形式で表現されたユーザー情報(クレーム)などが含まれます。
署名：トークンが改ざんされていないことを確認するためのデジタル署名です。

以下は、JSONヘッダーと単純なテキスト形式のペイロードを含むJWTの例です。
(https://github.com/jwtk/jjwt?tab=readme-ov-file#jwt-example より)

1. データ内容

ヘッダー

{
  "alg": "none"
}

ペイロード

本当の知性は知識ではなく想像力です。

2. 不要な空白をすべて削除します。

String header = "{"alg":"none"}";
String payload = "本当の知性は知識ではなく想像力です。";

3．UTF-8 バイト配列を取得し、Base64URL エンコードします。

String encodedHeader = base64URLEncode( header.getBytes("UTF-8") );
String encodedPayload = base64URLEncode( payload.getBytes("UTF-8") );

4. Base64エンコードされたヘッダーとペイロードをピリオドで結合します。

String compact = encodedHeader + '.' + encodedPayload + '.';

作成されたJWTは以下のようになります。

eyJhbGciOiJub25lIn0.5pys5b2T44Gu55+l5oCn44Gv55+l6K2Y44Gn44Gv44Gq44GP5oOz5YOP5Yqb44Gn44GZ44CC.

ただし、この例は署名が付与されていないため「保護されていない」JWT となります。

JWSとは

JWS(JSON Web Signature)は、デジタル署名またはメッセージ認証コード(MAC)で保護されたJWTです。以下の例では、ペイロード部はプレーンテキストではなく一般的なタイプのペイロードである JSON クレームを使用しています。

1.データ内容

ヘッダー
SHA-256 を使用した HMAC アルゴリズムを利用して暗号化することを示しています。

{
  "alg": "HS256"
}

ペイロード
JSON形式の一つのクレーム(sub)が含まれています。

{
  "sub": "Joe"
}

2. 不要な空白をすべて削除します。

String header = '{"alg":"HS256"}'
String claims = '{"sub":"Joe"}'

3．UTF-8 バイト配列を取得し、Base64URL エンコードします。

String encodedHeader = base64URLEncode( header.getBytes("UTF-8") );
String encodedClaims = base64URLEncode( claims.getBytes("UTF-8") );

4. Base64エンコードされたヘッダーとペイロードをピリオドで結合します。

String concatenated = encodedHeader + '.' + encodedClaims;

5. 秘密鍵とアルゴリズム(例では HMAC-SHA-256)を使用してデジタル署名を生成します。

SecretKey key = getMySecretKey();
byte[] signature = hmacSha256( concatenated, key );

6. 生成した署名をBase64URL エンコードし、ピリオドで文字列を結合します。

String compact = concatenated + '.' + base64URLEncode( signature );

作成されたJWSは以下のようになります。

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJKb2UifQ.1KP0SsvENi7Uz1oQc07aXTL7kpQG5jBNIybqr60AlD4

JWEとは

JWT、JWS(保護されたJWT)は、ヘッダーおよびペイロードは誰でも参照することができてしまいます。個人情報などの機密情報を送る場合は、改ざんすることも見ることも出来ない完全に暗号化された JWT である JWE(JSON Web Encryption)を使用する必要があります。