Basic認証 とは？

すごくシンプルだよ。ユーザー名とパスワードを『:』でつなげて、Base64でエンコードして、HTTPリクエストのAuthorizationヘッダに入れて送るだけなんだ。サーバー側はそれをデコードして検証するよ。

ここが重要なポイントで、Base64は暗号化じゃなくて単なるエンコードなんだ。誰でも簡単にデコードできる。だからBasic認証を使うときは必ずHTTPSと組み合わせないと、パスワードが丸見えになっちゃうよ。

そうそう。サーバーが401ステータスと一緒にWWW-Authenticateヘッダを返すと、ブラウザが自動的にユーザー名・パスワードの入力ダイアログを表示してくれるんだ。この仕組みはHTTPの標準だから特別な実装は不要だよ。

本番サービスのユーザー認証にはあまり使われないけど、開発・ステージング環境のアクセス制限やCI/CDのAPI認証なんかでは今でも現役だよ。NginxやApacheで数行の設定で有効にできる手軽さが重宝されているんだ。

OAuthやJWTを使ったトークンベースの認証が主流だね。Basic認証と違って、パスワード自体をリクエストごとに送る必要がないし、権限のスコープも細かく制御できるよ。