https://blog.yusukeikoma.com/ja/tags/authorization/Recent content in authorization on Ikoma's BlogHugoja-jpThu, 17 Sep 2026 09:49:13 +0900https://blog.yusukeikoma.com/ja/posts/ignoring-unknown-jwt-claims-only-removes-access/Thu, 17 Sep 2026 09:49:13 +0900https://blog.yusukeikoma.com/ja/posts/ignoring-unknown-jwt-claims-only-removes-access/JWT の仕様は、検証側が理解できないクレームは無視するよう定めています。権限を与えるクレームなら無害ですが、制限するクレームでは危険です。クライアントの種類ごとに持てる権限の上限を決める4つの設計を、小さな発行者と3種類の検証側で試し、僕が選ぶ設計を示します。https://blog.yusukeikoma.com/ja/posts/separate-authentication-and-authorization/Tue, 11 Aug 2026 17:14:04 +0900https://blog.yusukeikoma.com/ja/posts/separate-authentication-and-authorization/API の認証とロールベース認可を、主体・経路ごとの権限・人とマシンの認証情報に分けて設計する方法を説明します。