http基本アクセス認証を使用している場合、urlのユーザーとパスワードを非表示にします

Question

現在、基本認証を使用するサイトに接続しています。私のURLはhttp://username:password@mysite.comのように見えます。それは動作しますが、誰もがパスワードを見ることができます。 base64などでそれを隠す方法はありますか？

Answer 1

この構文は、ブラウザのショートカットです。一部のブラウザでは、この構文を使用してAuthorizationヘッダーを作成します（一部ではありません）。

しかし、一つは確かです。 あなたはすべての人にユーザー+パスワードを与えています。サイトで基本認証を使用している場合は、たとえば電子メールなどのユーザーにユーザーとパスワードの情報を提供する必要があります。なぜあなたは認証を追加し、誰もが認証されたセクションにアクセスできるようにしますか？

HTTP基本認証is not very secure。しかし、ボットによるインデックス作成を防ぐために、またはhttpsで使用できます。このような（迷惑な）ポップアップを追加すると、ユーザーは資格情報を入力する必要があります。他の方法はありません。ブラウザーは資格情報を記録し、ブラウザーが閉じられるまで、サイトで要求された各ページについて、同じ情報（ユーザー+パスはBase64でエンコードされています。つまり、クリアテキストで、セキュリティはありません）を追加します。だからあなたは、最初のポップアップの後に、あなたのためにそれを行うだろう、URLに資格情報を追加する必要はありません。