Web-UI HTTP Basic Auth

Wanneer webServerHost op iets anders dan loopback staat (bijvoorbeeld 0.0.0.0), is de web-UI bereikbaar voor iedereen op het netwerk. Om je herinneringen van het LAN te houden, beveilig de webserver met HTTP Basic Auth via hetzelfde configbestand als voor al het andere:

{
  "webServerHost": "0.0.0.0", // optioneel: UI bereikbaar vanaf het LAN
  "webServerAuthPassword": "pick-a-strong-one",
  "webServerAuthUsername": "admin", // optioneel, standaard de huidige OS-gebruiker
}

Veld	Standaard	Effect
webServerAuthPassword	(leeg)	Wanneer gezet, eist de server HTTP Basic Auth-credentials bij elk verzoek. Laat leeg om het open-by-default-gedrag te behouden.
webServerAuthUsername	OS-gebruiker ($USER)	Gebruikersnaam vereist door de Basic Auth-challenge.

webServerAuthPassword accepteert dezelfde geheime formaten als memoryApiKey:

• een letterlijke string (eenvoudig, prima voor persoonlijke machines),
• env://SOME_ENV_VAR om de waarde bij start uit de omgeving te halen,
• file:///path/to/secret om die uit een bestand te lezen (chmod 600 aanbevolen — de plugin waarschuwt als het bestand world-readable is).

De browser toont zijn native Basic Auth-dialoog en onthoudt de credentials voor de huidige sessie; alle browservensters sluiten wist ze, dus opnieuw openen van de browser vereist opnieuw inloggen. Credentials worden vergeleken met een constant-time check, en de niet-geauthenticeerde 401-response draagt Cache-Control: no-store zodat geen intermediaire cache die opnieuw speelt. CORS wordt ook versoepeld zodra auth aan staat, zodat andere tools op hetzelfde LAN na authenticatie met de API kunnen praten.