.htaccessでユーザとパスワードを求める(Basic認証)

.htaccess 設置ディレクトリへのアクセスででユーザ、パスワードを求める

.htaccessで、ユーザ、パスワードを求めるには、.htaccessとは別にユーザ、パスワードを保存したファイル（以降、慣習的に、このファイル名を .htpasswd とします。）を作成する必要があります。

つまり、以下の２つの作業が必要になります。

• .htaccess の編集、設置
  

  – ここでは、例として/var/www/html/.htaccessを編集するものとします。
  

  
  
• .htpasswd の作成、設置
  

  – ここでは、例として/home/user/public_html/test/.htpasswdのファイルを利用するものとします。
  

  
  

ここでは、.htaccessを使って 全てのアクセスに対してユーザ、パスワードを求めるようにしてみます。

.htaccess の編集、設置

.htaccess の編集は、以下のような例をもとに簡単に解説してみます。

1 2 3 4

AuthUserFile "/home/user/public_html/test/.htpasswd" AuthName "Local Security Test" AuthType BASIC Require valid-user

AuthUserFile

.htpasswdの設置パス名をフルパスで設定します。

この.htpasswdの設置場所は、.htaccessと同じである必要はありません。
ウェブからは、絶対のぞけないディレクトリへ設置すべきです。

AuthName

このセキュリティ設定の名前を任意に設定します。
文字列に空白を含む場合は、必ず、ダブルコーテーション(“)でくくりましょう。

一般的なウェブブラウザでは、ユーザパスワードを求める画面のタイトルに使われます。
以下は、Chromeでの表示イメージです。上記のAuthNameで設定しているLocal Security Testが表示されています。

AuthType

以下の２つから、アクセスされた時の認証方式について指定します。

• AuthType Basic
  最も、基本的でよく利用されている認証方式です。
  ※Basic 認証はクライアントからブラウザへ、 パスワードを暗号化せずに送ります。そのため、この方法は特に機密性の高いデータに対しては用いるべきでは ありません。
  
• AuthType Digest
  この認証方式は、Basicと比較してより安全です。しかし、古いウェブブラウザでは、この認証方式に対応できていないことがあります。
  

ここでは、一般的なBasic認証を用います。

Require

以下の３つから、アクセスされた時の対応について指定します。

• Require user userid [userid] …
  指定されたユーザのみ、ディレクトリへのアクセスを許可します。
• Require group group-name [group-name] …
  指定されたグループに属するユーザのみ、ディレクトリへのアクセスを許可します。
• Require valid-user
  全ての認証されたユーザに、ディレクトリへのアクセスを許可します。

ここでは、.htpasswdに指定したユーザ、パスワードを求めるようにしますので、３番目のvalid-userを指定します。

.htpasswd の作成、設置

$ cd /home/user/public_html/test/
# CRYPT 暗号化
$ htpasswd -nbd myName myPassword > .htpasswd

# apr1 (Apache MD5) 暗号化
$ htpasswd -nbm myName myPassword > .htpasswd

# SHA1 暗号化
$ htpasswd -nbs myName myPassword > .htpasswd

$ htpasswd -nbs myName2 myPassword2 >> .htpasswd