このツールについて
認証は API テストに最初に必要なものであり、わかりにくい 401 のよくある原因でもあります。非 ASCII 文字を含むパスワードを btoa でエンコードした、すでに「Bearer」が含まれたトークンを貼り付けた、API キーをクエリ文字列で送ってログに残ってしまった、などです。このツールは、Basic 認証（RFC 7617、Base64 の前に UTF-8 でエンコード）、Bearer トークン（RFC 6750）、ヘッダーまたはクエリパラメーターの API キーについてヘッダーを作成し、対応する curl コマンドと、環境変数から秘密情報を読み込む extraHTTPHeaders を使った Playwright の設定を表示します。OAuth 2.0 のクライアントクレデンシャルについては、固定のヘッダーを送るのではなく認証情報をトークンに交換するフローなので、トークン要求を curl と小さな Playwright ヘルパーとして表示します。入力内容が保存・送信されることはありません。
使い方
- 方式を選びます：Basic、Bearer トークン、API キー、OAuth 2.0 クライアントクレデンシャル。
- 認証情報とリクエスト URL を入力します。Basic のユーザー名にコロンが含まれる、平文の http:// を使っているなど、よくある間違いには警告が表示されます。
- ヘッダー行、curl コマンド、Playwright のスニペットをコピーし、コミットする前に秘密情報を環境変数に移します。
認証ヘッダー生成ツール のよくある質問
Basic 認証の Base64 は暗号化の一種ですか？
いいえ。Base64 は誰でも元に戻せるエンコーディングです。Basic 認証が安全なのは HTTPS 上だけで、認証情報はリクエストのたびに送信されます。
パスワードで btoa が失敗するのはなぜですか？
btoa は Latin-1 の文字しか受け付けないため、€ や絵文字などの文字はエラーになります。RFC 7617 は UTF-8 を推奨しているため、このツールはまずテキストを UTF-8 のバイト列にエンコードします。UTF-8 を期待するサーバーはそれをデコードします。
テスト用の認証情報はどこに置くべきですか？
環境変数か CI のシークレットストアに置き、リポジトリには決して含めないでください。Playwright のスニペットが process.env の値を読み込むのはそのためです。権限を最小限にした専用のテストアカウントと、有効期間の短いトークンを使うことをおすすめします。