JWT のデコードと検証の違い

デコードで実際に得られるもの

デコードは可読化の手順にすぎません。header と payload を JSON として表示し、`alg`、`sub`、`iss`、`aud`、`exp`、custom claims などのフィールドを確認できます。デバッグには役立ちますが、token が正しく署名されていることや、現在のリクエストでまだ有効であることは証明しません。

検証でまだ証明すべきこと

本当の検証はデコーダーの外で行われます。認証レイヤーは正しい secret または公開鍵で署名を再計算または検証し、意図した issuer、audience、時間範囲、権限と claims が一致しない token を拒否する必要があります。payload が読めるだけでは信頼に足りない理由はここにあります。

• 読みやすさとは別に署名の有効性を確認します。
• token を信頼する前に `exp`、`nbf`、`iss`、`aud` を確認します。
• 伏せ字済みまたは短命のサンプルで足りる場合は、本番 token を使わないでください。

A practical browser workflow

まずデコードして claims を読み、token がどの環境に属するかを確認し、その後で実際の認証システムに戻して署名と権限を確認します。問題が audience、issuer、時間範囲のずれにある場合、デコーダーはそれを素早く見つける助けになりますが、検証の代替にはなりません。