npm 9.0.3

jsonwebtoken のOSSカルテ

最終確認 2026年9月15日 02:10

10 観測できた項目

1 確認すべき点

2 データが取得できない項目

jsonwebtoken は 2026年9月15日時点で公開されている OSS です。採用前に確かめておきたい点が 1 件あります。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

deps.dev の relatedProjects: UNVERIFIED_METADATA
リポジトリ内のマニフェストに、同じパッケージ名が記載されています

github.com/auth0/node-jsonwebtoken

確認すべき点（1件）

確認すべき Token-Permissions OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Maintained 0 / 10

Token-Permissions 0 / 10

CII-Best-Practices 0 / 10

Fuzzing 0 / 10

SAST 0 / 10

Pinned-Dependencies 4 / 10

Branch-Protection 5 / 10

Code-Review 8 / 10

Dangerous-Workflow 10 / 10

Binary-Artifacts 10 / 10

License 10 / 10

Packaging 10 / 10

Security-Policy 10 / 10

Signed-Releases 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できた既知の脆弱性版 9.0.3 に影響する未修正の Advisory は見つかりませんでした。これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。読み方

確認できたリポジトリとの紐付け github.com/auth0/node-jsonwebtoken と結び付いています。リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

確認できた直近の更新最後の push は 2026年6月25日です。読み方

データが取得できないリリース GitHub 上でリリースが確認できませんでした。タグだけで配布しているプロジェクトもあります。リリースが無いこと自体は珍しくありません。読み方

確認できた Dangerous-Workflow OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Code-Review OpenSSF Scorecard の評価は 8 / 10 です。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Branch-Protection OpenSSF Scorecard の評価は 5 / 10 です。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

OpenSSF Scorecard

5.4 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Dangerous-Workflow no dangerous workflow patterns detected 10 / 10

Code-Review Found 24/28 approved changesets -- score normalized to 8 8 / 10

Maintained 1 commit(s) and 0 issue activity found in the last 90 days -- score normalized to 0 0 / 10

Binary-Artifacts no binaries found in the repo 10 / 10

Pinned-Dependencies dependency not pinned by hash detected -- score normalized to 4 4 / 10

Token-Permissions detected GitHub workflow tokens with excessive permissions 0 / 10

CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10

License license file detected 10 / 10

Fuzzing project is not fuzzed 0 / 10

Signed-Releases no releases found 判定不能

Packaging packaging workflow detected 10 / 10

Security-Policy security policy file detected 10 / 10

Branch-Protection branch protection is not maximal on development and all release branches 5 / 10

SAST SAST tool is not run on all commits -- score normalized to 0 0 / 10

当サイトの観測

記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	45.4 %

⭐ Stars	18,195

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得済み（保存していた内容）
Open Source Insights (deps.dev)	取得しました
OpenSSF Scorecard	取得しました
Open Source Insights — 版の詳細	取得しました
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得済み（保存していた内容）

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

JWT は設定を1つ誤ると、検証していないのに検証したつもりになる種類の仕組みです。ライブラリの使い方より先に、ここを押さえてください。

★もっとも多い取り違え

decode() は署名を確かめません。
```
jwt.decode(token)              // ★中身を読むだけ。誰でも偽造できる
jwt.verify(token, secret)      // 署名を確かめる
```
decode() の戻り値で権限を判定すると、認証が完全に無効になります。 値は正しく取れるため、動作からは区別がつきません
algorithms を指定しないと、方式を選ばせることになります。
```
jwt.verify(token, key, { algorithms: ['HS256'] })   // 明示する
```
指定しないと、トークン側が名乗った方式で検証されます。公開鍵方式と共通鍵方式を取り違えさせる手口が知られています

静かに壊れる箇所

有効期限は既定で付きません。 expiresIn を指定しないと、発行したトークンは永久に有効です。漏れたら止められません
失効させる手段がありません。 これは JWT の性質です。ログアウトや権限の剥奪を即座に反映したいなら、 サーバー側に状態を持つ仕組みが別に要ります
中身は誰でも読めます。 署名は改ざんを防ぐもので、秘匿ではありません。 個人情報をそのまま入れないでください
鍵が短いと総当たりが成立します。 共通鍵方式では、推測しやすい文字列を鍵にしないでください
時計のずれで検証が失敗します。 サーバー間の時刻が合っていないと、発行直後のトークンが「まだ有効でない」と判定されます

採用する前に

セッションで足りないかを先に確認してください。 同一サイトのログインだけなら、Cookie とセッションのほうが 失効の扱いが単純で、事故も起きにくくなります。

jsonwebtoken のOSSカルテ

リポジトリとの紐付け

確認すべき点（1件）

OpenSSF Scorecard の評価

観測した項目

OpenSSF Scorecard

当サイトの観測

人気

採用前に確認すること

出典

採用を検討するときに迷う点

★もっとも多い取り違え

静かに壊れる箇所

採用する前に

同じ目的のOSSとの関係

リリースと活動の履歴

週ごとのコミット数（直近52週）

当サイトでの観測の記録

観測した変化

同じ目的のOSS

別のOSSを調べる