てがろぐ - Fumy Otegaru Memo Logger -

<>
①たとえば既にある「続きを読む」機能のように、JavaScriptを使ってパスワードの入力を求める場合。ユーザの操作はとても簡単ですが、HTMLソースを見ればパスワードも本文もすべてが見えてしまいます。ソースを見る発想のないPC初心者だけを対象にしたり、ソースを見づらいスマートフォンユーザ向けにちょっとだけ隠せれば充分ならこの方法でも良いかもしれませんが、セキュリティという面では「全くない」と言えます。

②次に、リンクやボタンなどをクリックするとパスワード入力画面に移動して、パスワードが正しければ内容を表示するという仕組みの場合。ページ遷移が必要なのでやや面倒ですが、認証はCGI側が実施するのでHTMLソースを見てもパスワードや本文はバレません。この点では多少のセキュリティがあります。しかし、パスワード入力用の画面が必要なので「管理画面にも繋ぎたくない」という要望は満たせないように思います。また、てがろぐCGIの仕様上、投稿内容はすべて共通のデータファイル（標準では tegalog.xml）に含まれます。なので、このデータファイルの中身を覗かれれば、本文は読めてしまいます。（とはいえ、これはデータファイルのファイル名を複雑なものに変更しておけば防げるとは思いますが。）

もしかすると、てがろぐを2つ設置しておいて、片方はBasic認証を設定したディレクトリに置いておく、という方法で充分だったりしないでしょうか？ Basic認証ならブラウザの機能でIDとパスワードが問われますので、余計な画面遷移なく入力できます。ただ、記事単位で異なるパスワードを設定するようなことはできませんが。

どのようにパスワードによる認証をお使いになりたいかをもう少し具体的にご説明頂ければ、何らかの検討（もしくは解決策の提示）ができるかも知れません。