認証付きURL（user:pass@host）の解析

URL認証：Userinfoコンポーネント

URLにはprotocol://username:password@hostnameの形式で認証情報を直接埋め込むことができます。これはuserinfoコンポーネントと呼ばれ、RFC 3986で定義されています。

構文

https://admin:s3cret@api.example.com:8080/dashboard
\_____/ \___/ \____/ \_____________/ \__/ \_________/
  |       |     |          |          |       |
スキーム ユーザー パスワード ホスト名  ポート  パス

URL APIによる解析

const url = new URL("https://admin:s3cret@api.example.com:8080/dashboard");
console.log(url.username);  // "admin"
console.log(url.password);  // "s3cret"
console.log(url.hostname);  // "api.example.com"
console.log(url.host);      // "api.example.com:8080"

一般的な用途

1. データベース接続文字列 — postgres://user:pass@localhost:5432/mydb
2. FTPアクセス — ftp://user:pass@ftp.example.com/files/
3. GitリモートURL — https://token@github.com/org/repo.git
4. Redis/AMQP — redis://default:password@cache.internal:6379

セキュリティに関する考慮事項

• WebアプリケーションではパスワードをURLに入れないこと — ブラウザ履歴、サーバーログ、HTTP Refererヘッダーに表示されます
• モダンブラウザはHTTP/HTTPS URLの認証情報を削除または警告する場合があります
• 認証情報を含むデータベースやサービスの接続文字列はコードではなく環境変数に保存すべきです
• パスワード内の@文字は%40としてパーセントエンコードする必要があります

特殊文字

ユーザー名とパスワードの値に予約文字が含まれる場合はパーセントエンコードが必要です：

文字	エンコード
@	%40
:	%3A
/	%2F
#	%23
?	%3F