HTTP Basic 인증 인코더/디코더

RFC 7617 기본 인증은 base64(사용자이름:비밀번호)를 Authorization: Basic 헤더에 붙인 것일 뿐입니다. 이 툴은 브라우저에서 인코딩과 디코딩을 양방향으로 처리하고 네트워크 호출 없이 바로 붙여 넣을 수 있는 curl 조각을 만들어 줍니다. 경고가 흔한 함정을 잡아 줍니다. 사용자 이름에 든 콜론(기본 인증은 첫 :를 구분자로 쓰므로 자격 증명이 잘못 해석됩니다), 비ASCII 문자(RFC 7617은 문자 집합을 고를 수 있게 하지만 대부분의 서버는 UTF-8을 기대합니다), 그리고 빈 자격 증명입니다.

Base64는 암호화가 아니라 인코딩이고, 바로 이 툴의 디코딩 방향이 그 증명입니다. 헤더를 쥔 사람은 누구나 비밀번호를 평문으로 쥐는 셈이라, 기본 인증은 TLS 위에서만 안전하고 기록에 남는 곳에는 어울리지 않습니다. 프록시, 접근 로그, 브라우저 기록, 오류 보고서가 모두 요청 헤더를 일상적으로 담으며, 그중 어디에든 나타난 자격 증명은 노출된 것으로 취급해야 합니다.

첫 콜론에서 자른다는 규칙은 기억해 둘 값어치가 있습니다. 비밀번호는 콜론을 원하는 만큼 담을 수 있는데 첫 콜론 뒤는 전부 비밀번호이기 때문이고, 반면 사용자 이름은 콜론을 하나도 담을 수 없습니다. 서버가 엉뚱한 자리에서 자르고 이름의 일부를 비밀번호의 시작으로 읽을 것이기 때문입니다. 이스케이프 수단이 없으므로 콜론이 든 사용자 이름은 아예 표현할 수 없습니다.

브라우저는 자격 증명이 한 번 받아들여지면 해당 영역에 대해 그것을 캐시하는데, 프로토콜에는 로그아웃이 없습니다. 지우려면 브라우저를 닫거나, 대부분의 클라이언트에서는 일부러 틀린 자격 증명으로 URL을 방문해야 합니다. 진짜 로그아웃이 필요한 애플리케이션이 기본 인증을 쓰지 않는 이유가 이것입니다.

여기의 모든 처리는 입력한 내용에 대해 로컬에서 이루어지므로, 실제 자격 증명을 붙여 넣어도 아무 데도 전송되지 않습니다. 이것은 이 페이지의 성질이지 헤더의 성질이 아닙니다. 일단 요청에 실리면 그 요청이 가는 곳이면 어디든 따라갑니다.