あれは…数年前のことでした。とある開発プロジェクトで、不思議な「トークン」を扱うシステムを構築していた時のことです。
その「トークン」っていうのは、まるでアクセストークンのように見えたんですが…何かが違うんです。通常、トークンには有効期限があるもんですが、このトークンには“期限”ってものがなかったんです。何かおかしいなと思いながらも、プロジェクトは進んでいきました。
ある日、プロジェクトチームの一人が「このトークン、JWTじゃないですよね?」とポツリと言いました。それがきっかけでした。確かに、名前こそ「トークン」って呼ばれていましたが、まるでセッションそのもののように動作していたんです。
でもね、ここからが怖い話ですよ…。
トークンに有効期限がないってことは、いつまでも使い続けられる。もしそのトークンが一度でも誰かに漏れたら…?その人は、永遠にそのシステムにアクセスできるんです。