21. JWT — トークンによる認証

// JWT の構造(header.payload.signature)と検証をプレーンTSで再現
// 本物の base64url + HMAC ではなく、考え方を見えるようにした簡易版
type JwtPayload = { sub: string; role: string; exp: number };

// 署名: 秘密鍵と本文から決定的な文字列を作る(本物は HMAC-SHA256)
function sign(content: string, secret: string): string {
  let hash = 0;
  const combined = content + "." + secret;
  for (let i = 0; i < combined.length; i++) {
    hash = (hash * 31 + combined.charCodeAt(i)) | 0;
  }
  return "sig" + Math.abs(hash).toString(16);
}

// トークン発行: header.payload.signature の3部構成を組み立てる
function issueToken(payload: JwtPayload, secret: string): string {
  const header = "HS256";
  const body = header + "|" + JSON.stringify(payload);
  return header + "." + JSON.stringify(payload) + "." + sign(body, secret);
}

// 検証: 署名を計算し直して一致するか、期限が切れていないかを確認
function verifyToken(token: string, secret: string, nowSec: number): JwtPayload {
  const parts = token.split(".");
  if (parts.length !== 3) throw new Error("形式が不正です");
  const recomputed = sign(parts[0] + "|" + parts[1], secret);
  if (recomputed !== parts[2]) throw new Error("署名が一致しません(改ざんの疑い)");
  const payload = JSON.parse(parts[1]) as JwtPayload;
  if (payload.exp < nowSec) throw new Error("有効期限切れ");
  return payload;
}

const secret = "my-secret-key";
const token = issueToken({ sub: "user-1", role: "admin", exp: 2000 }, secret);
console.log("発行されたトークン: " + token);

const verified = verifyToken(token, secret, 1000);
console.log("検証OK: sub=" + verified.sub + " role=" + verified.role);

// payload を書き換えると署名が合わなくなる
const tampered = token.split(".");
tampered[1] = JSON.stringify({ sub: "user-1", role: "admin", exp: 9999 });
try {
  verifyToken(tampered.join("."), secret, 1000);
} catch (e) {
  if (e instanceof Error) console.log("改ざん検知: " + e.message);
}