JWT認証、雰囲気で使うのをやめた話

以前雰囲気でコピペしていたJWT認証を、一つずつ仕組みを確認しながら書き直した。

確認したこと

• 署名アルゴリズム（HS256 / RS256）の違いと選び方
• 有効期限切れをどこでどう扱うか
• リフレッシュトークンの保管場所と失効の仕組み

わかったこと

「動いているから大丈夫」で済ませていた部分に、実は考えるべき選択肢がいくつもあった。特にリフレッシュトークンの扱いは、セキュリティと利便性のトレードオフだと分かってから納得して実装できた。