jwt.verify

一言で言うと

署名アルゴリズム(HS256/RS256 など)とシークレットまたは公開鍵を使って署名を検証し、期限切れ・改ざんがないことを確認したうえで payload を返す。署名検証を行わずデコードだけする jwt.decode とは異なり、トークンの真正性を保証する点が特徴。

もう少し詳しく

署名アルゴリズム(HS256/RS256 など)とシークレットまたは公開鍵を使って署名を検証し、期限切れ・改ざんがないことを確認したうえで payload を返す。署名検証を行わずデコードだけする jwt.decode とは異なり、トークンの真正性を保証する点が特徴。IT エンジニアリングの現場で頻繁に登場する概念のひとつで、関連する仕組みやベストプラクティスと合わせて理解しておくと応用が利きます。

セキュアなアプリ運用には欠かせない概念です。誤った実装は情報漏洩につながるため、セッション管理・トークン発行・リフレッシュトークンの管理・トークン失効(revocation)戦略・HTTPS通信といった周辺技術と合わせて押さえておきましょう。

実務でどう使うか

関連する章

Ch181 で詳しく学べます。