PyJWT徹底解説：PythonでのJWT実装ガイド

pip install PyJWT

pip install cryptography

pip install PyJWT[crypto]

import jwt
import datetime

# ペイロードデータ (含めたい情報)
payload = {
    "user_id": 123,
    "username": "taro_yamada",
    "exp": datetime.datetime.now(datetime.timezone.utc) + datetime.timedelta(hours=1), # 有効期限 (1時間後)
    "iat": datetime.datetime.now(datetime.timezone.utc), # 発行日時
    "iss": "my_auth_server", # 発行者
    "aud": "my_resource_server" # 受信者
}

# 秘密鍵 (実際にはもっと複雑で安全なものを使用)
secret_key = "your-super-secret-key"

# HS256アルゴリズムでJWTを生成
encoded_jwt = jwt.encode(payload, secret_key, algorithm="HS256")

print(f"生成されたJWT: {encoded_jwt}")

import jwt
from jwt.exceptions import ExpiredSignatureError, InvalidTokenError, InvalidAudienceError, InvalidIssuerError

# 受け取ったJWT (上記のエンコード例で生成したもの)
# encoded_jwt = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2lkIjoxMjMsInVzZXJuYW1lIjoidGFyb195YW1hZGEiLCJleHAiOjE2Nzk4NTAwMDAsImlhdCI6MTY3OTg0NjQwMCwiaXNzIjoibXlfYXV0aF9zZXJ2ZXIiLCJhdWQiOiJteV9yZXNvdXJjZV9zZXJ2ZXIifQ.xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" # 実際のトークンに置き換えてください

# エンコード時と同じ秘密鍵
secret_key = "your-super-secret-key"

# 検証したい発行者と受信者
valid_issuer = "my_auth_server"
valid_audience = "my_resource_server"

try:
    # HS256アルゴリズムでJWTをデコード・検証
    # algorithms引数はリストで指定する必要がある
    # audienceとissuerを指定して検証を強化
    decoded_payload = jwt.decode(
        encoded_jwt,
        secret_key,
        algorithms=["HS256"], # 検証を許可するアルゴリズムのリスト
        audience=valid_audience,
        issuer=valid_issuer
    )

    print("デコード成功！")
    print(f"ペイロード: {decoded_payload}")

except ExpiredSignatureError:
    print("トークンの有効期限が切れています。")
except InvalidAudienceError:
    print("トークンの受信者 (audience) が無効です。")
except InvalidIssuerError:
    print("トークンの発行者 (issuer) が無効です。")
except InvalidTokenError as e:
    # その他のJWT関連エラー (署名不正、フォーマット不正など)
    print(f"無効なトークンです: {e}")
except Exception as e:
    print(f"予期せぬエラーが発生しました: {e}")

import jwt
import time

# requireオプションで特定のクレームを必須にする
options_require = {
    "require": ["exp", "iat", "iss", "aud", "user_id"]
}

# verify_expオプションで有効期限の検証をスキップ (非推奨)
options_skip_exp = {
    "verify_exp": False
}

try:
    # 例: 必須クレームを指定してデコード
    decoded_payload_req = jwt.decode(
        encoded_jwt,
        secret_key,
        algorithms=["HS256"],
        options=options_require
    )
    print("必須クレーム検証成功！")

    # 例: 有効期限切れトークンでも検証をスキップしてデコード (注意して使用)
    expired_token = jwt.encode({"user_id": 456, "exp": int(time.time()) - 3600}, secret_key, algorithm="HS256")
    decoded_payload_skip = jwt.decode(
        expired_token,
        secret_key,
        algorithms=["HS256"],
        options=options_skip_exp # 有効期限切れでもエラーにならない
    )
    print(f"有効期限検証スキップ成功！ ペイロード: {decoded_payload_skip}")

except jwt.MissingRequiredClaimError as e:
    print(f"必須クレームがありません: {e}")
except jwt.ExpiredSignatureError:
    print("トークンの有効期限が切れています。(skip_exp未使用時)")
except Exception as e:
    print(f"エラー: {e}")

from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.asymmetric import rsa
import jwt
import datetime

# --- 鍵の生成 (通常は事前に生成しておく) ---
# 秘密鍵を生成
private_key = rsa.generate_private_key(
    public_exponent=65537,
    key_size=2048
)
# 公開鍵を取得
public_key = private_key.public_key()

# 秘密鍵をPEM形式 (PKCS8) でシリアライズ
private_pem = private_key.private_bytes(
   encoding=serialization.Encoding.PEM,
   format=serialization.PrivateFormat.PKCS8,
   encryption_algorithm=serialization.NoEncryption() # パスワードなし
)

# 公開鍵をPEM形式 (SubjectPublicKeyInfo) でシリアライズ
public_pem = public_key.public_bytes(
   encoding=serialization.Encoding.PEM,
   format=serialization.PublicFormat.SubjectPublicKeyInfo
)

# print("--- Private Key (PEM) ---")
# print(private_pem.decode('utf-8'))
# print("--- Public Key (PEM) ---")
# print(public_pem.decode('utf-8'))

# --- JWTのエンコード (秘密鍵を使用) ---
payload_rsa = {
    "user_id": 789,
    "role": "admin",
    "exp": datetime.datetime.now(datetime.timezone.utc) + datetime.timedelta(minutes=30)
}

encoded_jwt_rsa = jwt.encode(payload_rsa, private_pem, algorithm="RS256")
print(f"RS256でエンコードされたJWT: {encoded_jwt_rsa}")

# --- JWTのデコード (公開鍵を使用) ---
try:
    decoded_payload_rsa = jwt.decode(
        encoded_jwt_rsa,
        public_pem, # 検証には公開鍵を使用
        algorithms=["RS256"] # 検証を許可するアルゴリズム
    )
    print("RS256デコード成功！")
    print(f"ペイロード: {decoded_payload_rsa}")

except jwt.InvalidSignatureError:
    print("署名が無効です。公開鍵が間違っているか、トークンが改ざんされています。")
except jwt.ExpiredSignatureError:
    print("トークンの有効期限が切れています。")
except Exception as e:
    print(f"エラー: {e}")

import jwt

payload_custom_header = {"data": "important"}
secret = "another-secret"
custom_headers = {"kid": "key_id_001"}

encoded_with_header = jwt.encode(
    payload_custom_header,
    secret,
    algorithm="HS256",
    headers=custom_headers
)

print(f"カスタムヘッダー付きJWT: {encoded_with_header}")

# ヘッダーだけを検証せずに読み取る (デバッグ用)
try:
    unverified_headers = jwt.get_unverified_header(encoded_with_header)
    print(f"検証前のヘッダー: {unverified_headers}")
except jwt.InvalidTokenError as e:
    print(f"ヘッダー読み取りエラー: {e}")

# デコード時にもヘッダーは含まれる
try:
    # jwt.decode_complete を使うとヘッダー、ペイロード、署名などを個別に取得できる
    decoded_complete = jwt.decode_complete(
        encoded_with_header,
        secret,
        algorithms=["HS256"]
    )
    print(f"完全デコード結果 - ヘッダー: {decoded_complete['header']}")
    print(f"完全デコード結果 - ペイロード: {decoded_complete['payload']}")

except Exception as e:
    print(f"デコードエラー: {e}")

import jwt
import time
import datetime

secret = "leeway-secret"
leeway_seconds = 5 # 5秒の猶予

# 1秒前に期限切れしたトークンを作成
payload_slightly_expired = {
    "user_id": 101,
    "exp": datetime.datetime.now(datetime.timezone.utc) - datetime.timedelta(seconds=1)
}
token_slightly_expired = jwt.encode(payload_slightly_expired, secret, algorithm="HS256")

# leewayなしだとエラーになる
try:
    jwt.decode(token_slightly_expired, secret, algorithms=["HS256"])
except jwt.ExpiredSignatureError:
    print("Leewayなし: 予想通り有効期限切れエラー")

# leewayありだと成功する
try:
    decoded_with_leeway = jwt.decode(
        token_slightly_expired,
        secret,
        algorithms=["HS256"],
        leeway=leeway_seconds # 5秒のずれを許容
    )
    print(f"Leewayあり: デコード成功！ ペイロード: {decoded_with_leeway}")
except jwt.ExpiredSignatureError:
    print("Leewayあり: エラー (予期せぬ動作)")
except Exception as e:
    print(f"Leewayあり: その他のエラー: {e}")