Web UI HTTP Basic Auth

当 webServerHost 设置为回环以外的任何值（例如 0.0.0.0）时，网络上的任何人都可以访问 Web UI。为避免记忆暴露在局域网中，请通过用于其他一切的同一配置文件，用 HTTP Basic Auth 保护 Web 服务器：

{
  "webServerHost": "0.0.0.0", // optional: reach the UI from the LAN
  "webServerAuthPassword": "pick-a-strong-one",
  "webServerAuthUsername": "admin", // optional, defaults to the current OS user
}

字段	默认值	效果
webServerAuthPassword	(空)	设置后，服务器会在每个请求上要求 HTTP Basic Auth 凭据。留空以保持默认开放行为。
webServerAuthUsername	OS 用户（$USER）	Basic Auth 质询所需的用户名。

webServerAuthPassword 接受与 memoryApiKey 相同的密钥格式：

• 字面字符串（简单，适合个人机器），
• env://SOME_ENV_VAR 在启动时从环境拉取值，
• file:///path/to/secret 从文件读取（推荐 chmod 600 — 若文件全局可读，插件会发出警告）。

浏览器会弹出其原生 Basic Auth 对话框，并在当前会话中记住凭据；关闭所有浏览器窗口会丢弃它们，因此重新打开浏览器需要再次登录。凭据以恒定时间比较进行比对，未认证的 401 响应带有 Cache-Control: no-store，因此中间缓存不会重放它。启用认证后 CORS 也会放宽，以便同一局域网上的其他工具在认证后可以访问 API。