概要JWTを認証用トークンに使う時に調べたことをまとめます。JWTとは以下のフォーマットです。{base64エンコードしたheader}.{base64エンコードしたclaims}.{署名}以下の特徴があります。HMAC)し、トークンとして扱う。中身は誰でも見られる。発行者は鍵を使ってメッセージの検証ができるので、改竄を検知できる。以上の点からトークンとして向いているため、認証トークンとして用いられるようになってきました。Angular.JS認証フロー自体はほぼ同じです。CookieはCookieヘッダを使い、TokenはAuthorizationヘッダを使います。TokenのメリットCookieに依存しないため、CSRF脆弱性がなくなるネイティブプラットフォームで扱いやすい特定の暗号スキームに依存しない(=JWT以外も扱える)ステートレス。サーバ側にセッションストアも要らない。JWTに入れるもの最低限入れるものは以下です。