🔰 はじめに

はじめまして。
中途・未経験からエンジニアになり、現在3年目です。Javaでの開発を主に担当しており、PHPはこれまで触ったことがありませんでした。

そんな私が、ある案件で WordPress を使用したサイト構築を担当することになりました。
特定の事情により、Basic認証を「ログインページ」と「記事ページ」でそれぞれ設定する構成が求められました。

今回はその中でハマった点と、最終的な解決方法をまとめておきます。
珍しいケースかもしれませんが、どこかの誰かの参考になれば幸いです。

※なお、ユーザー名やファイルパスなどは実際のものではなく、わかりやすくするためにサンプルに置き換えています。

🛠 やりたかったこと

WordPress のログインページに Basic認証をかけたい（管理者向け）
記事ページにも別途 Basic認証をかけたい（ユーザー向け）

つまり、ログインページと記事ページにそれぞれ別のBasic認証を設定する構成です。

🗂 最初の構成（失敗したパターン）

WordPressのディレクトリ直下に .htaccess と .htpasswd をそれぞれ2種類ずつ作成し、以下のように設定しました。

.htaccess

<FilesMatch "^(?!wp-login\.php)">
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/pass1/.htpasswd
  require valid-user
</FilesMatch>

<FilesMatch wp-login.php>
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/pass2/.htpasswd
  require valid-user
</FilesMatch>

.htpasswd を2ファイル作成し、異なるパスワードを設定。

1つ目（pass1）はログインページ以外（記事ページ）に対してBasic認証を設定。
2つ目（pass2）はログインページに対してBasic認証を設定。

結果

最初のアクセスでは想定通りBasic認証が表示されました。

ユーザー名とパスワードを入力してログインを試みます。

認証後、もう一度Basic認証が表示されてしまいました。↓

本来ならWordPressのログイン画面が出るはずなのに、再度認証を求められてしまう。

🧪 原因調査と対応

原因を調べたところ、どうやらログインページの読み込みに必要な JavaScript や CSS も Basic認証で保護されており、それが通らず再認証が発生していたようです。

対策として、以下の3つのディレクトリを Basic認証の対象外とするように設定しました。

・wp-admin
・wp-includes
・wp-content

各ディレクトリ配下に .htaccess ファイルを設置し、以下の内容を記載しています。

.htaccess

<FilesMatch ".*">
Satisfy Any
Order allow,deny
Allow from all
Deny from none
</FilesMatch>

この対応により、ログインページの表示は問題なく完了！

😇 しかし記事ページが…

次に記事ページにアクセスしてみると、Basic認証が出てこず、ページが表示されてしまいました。

…え？なんで？ここは認証されてないとダメなはず。

再度 .htaccess を見直してみたところ、原因はこの部分でした。

<FilesMatch "^(?!wp-login\.php)">
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/pass1/.htpasswd
  require valid-user
</FilesMatch>

<FilesMatch wp-login.php>
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/pass2/.htpasswd
  require valid-user ←ここ★
</FilesMatch>

require valid-user は、

「認証に成功した任意のユーザーであればアクセスを許可する」

という意味です。

つまり、ログインページで1回 Basic認証を突破すると、その認証情報が記事ページにも適用され、弾かれなくなっていたということでした。

🛠 最終的な解決策

最終的には、次のように .htpasswd を 1ファイルに統合し、ユーザーごとのアクセス制限をかけることで解決しました。

.htpasswd（統合）

admin1:pass1
admin2:pass2

.htaccess

<FilesMatch "^(?!wp-login\.php)">
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/.htpasswd←修正★
  require user admin2 ←修正★
</FilesMatch>

<FilesMatch wp-login.php>
  Order allow,deny
  Allow from all
  AuthType Basic
  AuthName "auth"
  AuthUserFile C:/xampp/htdocs/wordpress/.htpasswd←修正★
  require user admin1 ←修正★
</FilesMatch>

admin1 はログインページへのアクセスに対して Basic認証を設定。
admin2 は記事ページ全体へのアクセスに対して Basic認証を設定。

結果

ログインページでは admin1 の認証が必要。

記事ページでは admin2 の認証が必要。

👉 認証が共有されず、ログインページ・記事ページそれぞれで正しくBasic認証が表示されるようになり、無事ログインにも成功しました！🎉

📝 おわりに

PHP未経験で WordPress 案件に入り、思わぬところでハマりましたが、Basic認証の挙動や .htaccess の柔軟さを学ぶ良い経験になりました。

同じような構成を取る人は少ないかもしれませんが、どこかで誰かが悩んだときのヒントになればうれしいです。

💡補足：今回学んだポイントまとめ

・require valid-user：認証に成功した任意のユーザーに許可
・require user admin1：指定したユーザー（ここでは admin1）のみ許可
・.htpasswd に複数ユーザー可：ユーザー単位の制御が可能