JWT生成・署名（HS256/HS384/HS512）

ヘッダー・ペイロード・署名をBase64URLでエンコードし、ドットで連結したトークンです。認証情報の受け渡しによく使われます。

共有の秘密鍵とSHA-2のHMACで署名する方式です。署名と検証に同じ鍵を使います。

それぞれ発行日時と有効期限を表す標準クレームで、UNIX秒（1970年からの秒数）で指定します。

いいえ。共有の秘密鍵で署名するHS256・HS384・HS512のみ対応しています。公開鍵方式（RS256・ES256など）には対応していません。

秘密鍵の取り違えが最も多い原因です。鍵をテキストとして扱うか16進数として扱うか、Base64でエンコードされた鍵をそのまま文字列として渡していないかを確認してください。また、検証側が許可するアルゴリズムと、ここで選んだアルゴリズムが一致している必要があります。

いいえ。JWTのペイロードは署名されるだけで暗号化されないため、トークンを受け取った人は誰でもBase64URLをデコードして中身を読めます。パスワードなどの機密情報は入れないでください。

ヘッダーのalgは、選択したアルゴリズムで常に上書きされます。署名方式とヘッダーの宣言が食い違ったトークンを作らないための仕様です。