【要約】Stop Using JWTs [Hacker_News] | Summary by TechDistill

> Source: Hacker_News

// Discussion Topic

本スレッドは、JWT（JSON Web Token）の利用を停止すべきとする記事に対し、エンジニアがその妥当性を検証する場となっている。記事はFIFAのハッキング事例などを引き合いに、JWTの危険性を警告している。議論の焦点は以下の通りである。

・ブラウザベースのユーザーセッション管理におけるセキュリティリスク
・サービス間通信（Service-to-Service）におけるJWTの有効性
・JWTの脆弱性と、大規模クラウドインフラでの採用実績との乖離

// Community Consensus

コミュニティの反応は、記事の主張を「極端な一般化」と捉える批判的な傾向が強い。JWTの是非は利用シーンによって明確に分かれるという見解が主流である。

【JWTに批判的な視点】

・ブラウザでのユーザーセッション管理には不向きである。

【JWTを擁護する視点】

・サービス間通信においては極めて有効な手段である。
・AWS STS（AssumeRoleWithWebIdentity）等の実績から、技術自体は信頼に足る。
・問題は技術そのものではなく、不適切なユースケースへの適用にある。

// Alternative Solutions

・ブラウザベースのセッション管理における、従来のCookieベースのセッション管理。
・サービス間通信における、文脈に応じた適切な認証プロトコルの利用。

// Technical Terms

Senior Engineer Insight

> 技術責任者として、本議論は「技術の絶対的な善悪」ではなく「適用範囲の誤認」を突いていると評価する。ブラウザ環境でのJWT利用は、XSS等の攻撃ベクトルを増やすリスクがある。一方で、分散システムにおけるサービス間認証としてJWTを否定するのは、現代のアーキテクチャを無視した暴論だ。我々の現場では、フロントエンドにはセキュアなCookie、バックエンド間にはJWTという、明確な境界線に基づいた使い分けを徹底すべきである。極端な主張に惑わされず、脅威モデルに基づいた判断が求められる。