問題

Apache のサーバーでウェブサービスを動かしていて、領域 /private1/ と /private2/ 以下を共通の .htpasswd ファイルを使った Basic 認証必須の設定としている。
想定している動作としては、ブラウザで /private1/ を開いて１度パスワードを入力したのであれば、/private2/ 以下にアクセスしたときに、再度パスワード入力を要求されたくない。
しかし、今回はそうではなく、/private1/ 以下へのアクセスの後に /private2/ 以下にアクセスしたとき、再度のパスワードの要求が行われてしまった。もちろん、その逆も同様である。

原因

今回、Basic認証の設定は /private1/.htaccess と /private2/.htaccess でそれぞれBasic認証の設定を個別に行っていた。しかし、作成者がそれぞれ別だったため、AuthUserFile では同じ .htpasswd ファイルを使っていたが、異なる AuthName を使う設定となっていた。

AuthName ディレクティブでは、認証に使う Realm (訳注: 領域) を設定します。Realm は大きく分けて二つの機能を提供します。一つ目は、クライアントがパスワードダイアログボックスの一部としてユーザにこの情報をよく提示する、というものです。二つ目には、クライアントが与えられた認証領域に対してどのパスワードを送信すれば良いのかを決定するために使われる、という機能です。

例えば、"Restricted Files" 領域中で一度認証されれば、同一サーバ上で "Restricted Files" Realm としてマークされたどんな領域でも、クライアントは自動的に同じパスワードを使おうと試みます。このおかげで、複数の制限領域に同じ realm を共有させて、ユーザがパスワードを何度も要求される事態を防ぐことができます
https://httpd.apache.org/docs/2.4/ja/howto/auth.html

とあるため、クライアントブラウザ側の入力を１度で済ませたい場合、同じ名前の AuthName を設定する必要がある。

なお、Chrome 以外のブラウザではダイアログにこれを表示してくれるが、Chrome では AuthName 部分が表示されないため少し注意のこと。