Htpasswd檔案生成器

.htpasswd 的一行如何對應登入帳號

.htpasswd 是 HTTP Basic 認證可使用的純文字密碼檔。檔案通常每行記錄一個帳號，結構是「使用者名稱:密碼雜湊」；冒號用來分開欄位。這個工具接受一組使用者名稱與密碼，產生一行記錄，並可複製或下載成 .htpasswd 檔。它處理的是伺服器驗證用的雜湊記錄，不會替你建立伺服器上的檔案或設定受保護路徑。

bcrypt 與 SHA-1 會產生不同記錄

預設選項是 bcrypt，成本值固定為 10，並為每次計算取新的隨機 salt；Apache 格式的記錄以 $2y$ 開頭。同一密碼重算後雜湊字串不同是正常現象，因為 salt 也會改變。另一個選項是 SHA-1 舊格式，輸出由 {SHA} 與 Base64 編碼的 SHA-1 摘要組成。這兩種輸出都是摘要記錄，不是可還原密碼的加密文字。

從輸入欄位取得單筆記錄

1. 填入帳號

   輸入要放進密碼檔的使用者名稱。若只是熟悉格式，先用虛構資料，避免把正式帳密留在共用螢幕或公開裝置上。

2. 設定密碼與記錄格式

   輸入密碼後可維持預設 bcrypt；只有在既有環境明確要求舊格式時，才切換到 SHA-1。工具也提供隨機密碼按鈕，可產生 12 個字元的密碼。

3. 檢視並帶走輸出

   欄位填妥後結果會自動更新。確認輸出是使用者名稱、冒號與雜湊值，再按複製，或下載為 .htpasswd 文字檔。

加入既有密碼檔前先保留其他帳號

下載的內容只包含目前這一筆記錄。若伺服器已有其他帳號，應先檢視現有檔案，再把新記錄另加一行；不要用單筆下載檔直接覆蓋含有多位使用者的檔案。設定 Apache 時，讓 AuthUserFile 指向正確檔案，並以測試帳號確認登入流程。

部署前要確認檔案位置與傳輸保護

HTTP Basic 的登入憑據會以 Base64 編碼傳送；Base64 不是加密。實際使用 Basic 認證時，應由伺服器設定 HTTPS/TLS 保護連線。Apache 也提醒密碼檔不要放在可由瀏覽器直接取得的 URI 路徑內。生成一行記錄不代表存放位置、伺服器設定或登入保護已完成。

記錄格式是否能被目標伺服器接受，仍須在該環境測試。此頁提供 bcrypt 與 SHA-1，不提供 APR1、明文或批次帳號檔案；每次只輸出一筆。bcrypt 成本固定為 10，沒有成本調整欄位。

輸入限制與 SHA-1 的用途邊界

使用者名稱不能含冒號、換行或 NUL；Apache 文件另規定名稱最多 255 位元組，而本表單不會預先檢查這項長度限制。密碼不能含換行或 NUL，且本工具要求 UTF-8 編碼長度不超過 72 位元組；中文字通常會占多個位元組，因此 72 個字元不等於 72 位元組。密碼欄以文字顯示，輸入時請留意周遭是否有人看見。

SHA-1 格式不加 salt，Apache 將此格式列為不安全；僅在舊環境相容需求明確且經管理者確認時使用，不適合作為新帳號的預設選擇。正式環境請優先選擇伺服器支援的 bcrypt 記錄並自行完成相容性測試。