ﾍﾞｰｼｯｸ認証のIDが “user” ､ﾊﾟｽﾜｰﾄﾞが “password” の場合は､ｻｰﾊﾞ側のｱｸｾｽﾛｸﾞの話であればﾛｸﾞに残るのはﾕｰｻﾞ名のみでﾊﾟｽﾜｰﾄﾞは記録されません｡
また､GoogleAnalytics などﾌﾞﾗｳｻﾞ側でJSを使ってﾛｸﾞ集計を行う系の仕組みでもやはりその認証情報は取れないようになっている筈ですので問題ないでしょう｡
ただしそもそも､URLにBASIC認証を含めてｱｸｾｽさせるやり方自体が今時は非推奨ですのでﾌﾞﾗｳｻﾞによっては正常に利用できないこともあります(古いﾌﾞﾗｳｻﾞは大丈夫でも最新ではｾｷｭﾘﾃｨ上の配慮から無効にされていることがあります)｡
なので､URLとID/PASSは別途利用者に伝えて普通にBASIC認証ﾀﾞｲｱﾛｸﾞで入力してもらうのが良いと思います｡その際ﾕｰｻﾞがﾌﾞﾗｳｻﾞにID/PASSを保存させる運用でも問題無いでしょう｡
| ▽2
●
こばさん ●150ﾎﾟｲﾝﾄ  ﾍﾞｽﾄｱﾝｻｰ |
もしHTMLに埋め込まれたJavaScriptからURLの認証部が取得できてしまったら､そのﾌﾞﾗｳｻﾞの深刻な脆弱性ですよ｡
経路にﾌﾟﾛｷｼがあったりﾊﾟｹｯﾄｷｬﾌﾟﾁｬされたりしたら､平文ですからHTTP通信のﾍｯﾀﾞｰから読み取られてしまいますが､ﾕｰｻﾞｰ情報は､そのﾎｽﾄ(HTMLの相手先)とのHTTP通信のなかでのみ交わされる内容であって､別ﾎｽﾄに置かれたJavaScriptﾌｧｲﾙには無関係な話です｡
