KASUGAI Canvas v6.17.0

ローカル認証（local）

← 認証とプラグインへ戻る

1. ローカル認証（local）

概要

最小限のローカル向け認証（テスト・実験用）です。web/PLUGIN/auth-local/auth.js 内の定数と同じ ID/PASS を入力すると起動します。

利用シーン

  • ローカルでの動作確認
  • 認証機能の実験・テスト

起動と設定

web/auth-methods.json の control を 1 に設定すると、この認証方式が選択されます。

{
  "control": 1
}

ブラウザで http://127.0.0.1:8510/ を開くと、ログイン画面が表示されます。

ID/PASS の設定

web/PLUGIN/auth-local/auth.js の以下の定数を編集してください。

const EXPECTED_USER = "admin";
const EXPECTED_PASS = "admin";

初期値: ユーザーID admin、パスワード admin

資産ごとの秘匿状況

資産未ログインの第三者備考
ID/PASS❌ 平文で露出auth.js 内の EXPECTED_USER / EXPECTED_PASS を読めばそのまま分かります。ログインするまでもなく漏洩します
.kasc 設定❌ 全公開静的ファイルとして誰でも取得可能
HTML/JS/CSS（アプリ本体）❌ 全公開ログイン画面は見た目のゲートのみ。ファイルは全て取得可能
データ（web/）
URL が公開情報から分かる		❌ 列挙容易.kasc や projects.json に記載のパス、DATA/ の固定パスは一覧・推測で容易に取得可能
データ（web/）
URL が非公開・推測困難		△ obscurityどこにもパスが書かれていないファイルは URL を知らなければ到達困難。ただし認証はないため URL が漏れれば即座に取得可能

サーバー側で守られる資産は一切ありません。ログイン画面はあくまで表示上の制御です。

セキュリティ上の注意

  • 保護できるもの：アプリ起動制御（ID/PASS 入力なしでは起動できない）
  • 保護できないもの：HTML/JS/CSS 等の静的ファイル、DATA/ 内の画像・GeoJSON 等、認証情報（auth-local.js 内の ID/PASS 定数は平文のため容易に読み取られる）
  • 利用場面：動作確認・実験用
  • 注意：ID/PASS は auth-local.js 内に平文で保存されるため、簡単に漏洩します。本番や公開環境には絶対に使用しないでください