こんにちは！API開発の現場で、認証エラー（401 Unauthorizedや403 Forbidden）に頭を悩ませた経験はありませんか？
「画面からはログインできるのに、APIクライアントから叩くと弾かれる…」
「アクセストークンを毎回ブラウザでコピーして、Insomniaに貼り直す作業をもう何十回もやった…」
そんな毎日の無駄な苦労、今日で終わりにしましょう。
今回は、API開発・テストの強力な相棒である「Insomnia」を使って、OAuth 2.0の複雑なトークン取得フローと、JWT（JSON Web Token）の自動付与を完全に攻略する手順を解説します。
これをマスターすれば、あなたのAPIテストのスピードは劇的に向上し、認証周りのイライラから完全に解放されますよ。さあ、一緒に扉を開けましょう！
—
1. Insomniaとは？なぜAPI開発の救世主なのか
APIをテストするツールといえば「Postman」が有名ですが、近年の軽量かつモダンな開発環境において、Insomniaはその洗練されたUIと高速な動作で、多くのシニアエンジニアから熱烈な支持を受けています。
Insomniaの最大の強みは、「環境変数（Environment）」と「認証（Auth）の抽象化」の美しさにあります。
開発環境（Local）、ステージング環境（Staging）、本番環境（Production）ごとのURLやClient IDを環境変数で一元管理し、一度取得したOAuth 2.0のアクセストークンを裏側で自動的にリクエストヘッダーに差し込む。これがInsomniaを使うと、驚くほど直感的に実現できるのです。
まずは、基本のセットアップから進めていきましょう。
—
2. インストールと最も重要な基礎セットアップ
インストール
公式サイト（[Insomnia公式サイト](https://insomnia.rest/)）から、お使いのOS（Windows, macOS, Linux）向けのインストーラーをダウンロードし、画面の指示に従ってインストールを完了させてください。アカウント登録（無料）を求められますが、スキップしてローカルモードで使用することも可能です。
基礎セットアップ：環境変数（Environment）の定義
認証情報をハードコーディングするのは、セキュリティ事故の元であり、環境を切り替える際の最大の足かせになります。まずは「環境変数」を整えましょう。
Insomniaの画面左上のプロジェクト名をクリックし、「Manage Environments」を開きます。
以下のようなJSONを設定してください。
{
“base_url”: “https://api.example.com/v1”,
“oauth”: {
“auth_url”: “https://auth.example.com/oauth/authorize”,
“token_url”: “https://auth.example.com/oauth/token”,
“client_id”: “your_client_id_here”,
“client_secret”: “your_client_secret_here”,
“scope”: “read write”
}
}
> 先輩の知恵：
> この環境変数を設定しておけば、URL欄に `{% response ‘base_url’ %}` のように動的に値を埋め込めるようになります。環境（Local ⇄ Staging）の切り替えも、右上のプルダウン一つで一瞬です。
—
3. 【OAuth 2.0 攻略】アクセストークン自動取得の極意
APIテストで最も億劫なのが、OAuth 2.0の「認可コードフロー（Authorization Code Flow）」や「クライアントクレデンシャルズフロー（Client Credentials）」のトークン取得です。
Insomniaにこれを任せましょう。今回は最もよく使われる「Authorization Code（認可コードフロー）」の設定手順を解説します。
ステップ1: リクエストにAuthを設定する
1. GETやPOSTなどのAPIリクエストを作成します。
2. リクエストURLの下にあるタブから、「Auth」を選択します。
3. プルダウンから「OAuth 2.0」を選びます。
ステップ2: Grant Typeとエンドポイントの入力
Grant Type（グラントタイプ）に 「Authorization Code」 を選択し、先ほど環境変数に登録した変数を呼び出して各項目を埋めていきます。
- Grant Type: Authorization Code
- Authorization URL: `{{ _.oauth.auth_url }}`
- Access Token URL: `{{ _.oauth.token_url }}`
- Client ID: `{{ _.oauth.client_id }}`
- Client Secret: `{{ _.oauth.client_secret }}`
- Scope: `{{ _.oauth.scope }}`
- Redirect URL: `https://insomnia.rest/oauth2/redirect` （Insomniaが用意してくれているデフォルトのコールバックURL）
ステップ3: 「Authenticate」ボタンの魔法
設定が完了したら、フォームの一番下にある「Authenticate with OAuth.2」というボタンをクリックしてください。
すると、Insomnia内（または外部ブラウザ）で対象の認証サーバーのログイン画面が立ち上がります。正しくログインとアクセス権の承認を行うと、Insomniaが自動的に認可コードをキャッチし、裏側でアクセストークンに交換して保持してくれます。
これで、あなたはこのリクエストを送るたびに、有効なアクセストークンを自動でヘッダーに付与できるようになりました！
—
4. 【JWT 攻略】ヘッダーへの自動付与とデバッグの極意
OAuth 2.0で無事にアクセストークン（またはIDトークン）を取得できたら、次はJWT（JSON Web Token）の扱いです。
APIサーバーは通常、リクエストヘッダーの `Authorization` に以下のような形式でトークンを求めてきます。
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…
「あれ？さっき取得したトークン、どうやってヘッダーに挟み込むんだっけ？」と迷う必要はありません。Insomniaの「Tags（タグ機能）」を使えば、完全に自動化できます。
JWTを自動付与する設定手順
1. リクエストの 「Auth」 タブで OAuth 2.0 を設定している場合、Insomniaは自動的に `Authorization: Bearer <取得したトークン>` をリクエストヘッダーに付与してくれます。
2. もしカスタムヘッダーとして手動で付与したい場合や、レスポンスから抽出した特定のJWTを使いたい場合は、ヘッダータブ（Header）を開きます。
3. Keyに `Authorization`、Valueに `Bearer ` と入力したあと、Ctrl + Space（Macの場合はCmd + Space）を押してみてください。
4. 補完メニューから「Response Body」または「OAuth 2.0 Token」を選択します。
これにより、「先ほどOAuth 2.0の認証で取得したアクセストークンの値」を動的に参照し、常に最新のJWTをヘッダーにねじ込むことができるようになります。
—
5. 精度高いHelloWorld的な動作確認
設定が正しく機能しているか、実際にテスト用のエンドポイントを叩いて動作確認をしてみましょう。
1. 環境の選択: 画面右上の環境選択ドロップダウンが、先ほど設定した環境になっていることを確認します。
2. 認証の実行: APIリクエストの「Auth」タブから「Authenticate with OAuth.2」を実行し、トークンを取得状態にします（緑色のチェックマークや「Token Generated」の表示が出ればOK）。
3. リクエスト送信: `GET {{ _.base_url }}/user/profile` のような、認証が必須なエンドポイントに対して「Send」ボタンを押します。
4. レスポンスの確認: ステータスコードが `200 OK` で返ってくれば大成功です！
もしここで `401 Unauthorized` が返ってきた場合は、以下のポイントをチェックしてください。
- クライアントIDやシークレットに全角スペースや余計な空白が入っていないか
- 認証サーバーのスコープ（Scope）がAPI側の要求と一致しているか
- トークンが有効期限切れになっていないか（「Refresh Token」の設定を有効にしておくとさらに安心です）
—
まとめ：毎日の作業を劇的に楽にしよう
今回は、Insomniaを使ったOAuth 2.0の認証フローと、JWTの自動付与設定について徹底解説しました。
- 環境変数でURLや認証情報を一元管理する
- OAuth 2.0設定で、面倒なトークン取得をボタン一つで終わらせる
- 動的タグ機能で、取得したJWTを自動的にリクエストヘッダーに載せる
たったこれだけのステップをマスターするだけで、毎日のAPIテストにおける「ブラウザを行き来してトークンをコピペする地獄」から完全に解放されます。
開発の本質は、ビジネスロジックを組み上げることや、より良いアーキテクチャを設計することです。このようなツール周りの煩わしさはスマートに自動化し、エンジニアとしての創造的な時間に集中しましょう。
それでは、快適なAPI開発ライフを！