JWT: Invalid signature

1
2
3
4
5

// 署名時
const token = jwt.sign(payload, process.env.JWT_SECRET, { algorithm: 'HS256' });

// 検証時（同じ鍵を使用）
const decoded = jwt.verify(token, process.env.JWT_SECRET, { algorithms: ['HS256'] });

1
2
3
4
5

// 悪い例: アルゴリズム未指定
jwt.verify(token, secret);

// 良い例: アルゴリズムを明示
jwt.verify(token, secret, { algorithms: ['HS256'] });

1
2
3
4
5
6
7

// 署名（秘密鍵）
const privateKey = fs.readFileSync('private.pem');
const token = jwt.sign(payload, privateKey, { algorithm: 'RS256' });

// 検証（公開鍵）
const publicKey = fs.readFileSync('public.pem');
const decoded = jwt.verify(token, publicKey, { algorithms: ['RS256'] });

1
2

# .env.development と .env.production で同じ値
JWT_SECRET=your-super-secret-key-here

1
2
3
4
5

# JWTのペイロードを確認（署名検証なし）
echo "eyJhbGciOi..." | cut -d'.' -f2 | base64 -d | jq

# ヘッダーを確認（アルゴリズムの確認）
echo "eyJhbGciOi..." | cut -d'.' -f1 | base64 -d | jq

1
2
3
4

// Node.js でデコードのみ（検証なし）
const decoded = jwt.decode(token, { complete: true });
console.log('Header:', decoded.header);  // { alg: 'HS256', typ: 'JWT' }
console.log('Payload:', decoded.payload);