在宝塔「访问限制」中添加规则保护后台路径（如/admin/）更安全，需注意路径以斜杠开头并建议加末尾斜杠、启用https时规则自动写入443端口、务必重载配置，否则不生效。
直接在宝塔「访问限制」里加规则，比改配置文件更安全、不易出错，但必须注意路径写法和 HTTPS 位置——否则密码框根本不弹。
用「访问限制」功能保护 /admin/ 这类后台路径
宝塔的「访问限制」是专为子路径设计的图形化入口，适合保护 /admin/、/wp-admin/、/private/ 这类固定后台目录。它会自动插入带 ^~ 前缀的 location 块，避免被其他规则覆盖。
- 路径必须以斜杠开头，且建议末尾加斜杠：
/admin/（有效），/admin（只匹配该路径名，不包含/admin/login.php） - 填写的「名称」只是面板内标识，不影响浏览器弹窗文案；实际提示文字由 Nginx 的
auth_basic "xxx"决定，不可自定义 - 同一站点可添加多条规则，例如分别保护
/api/和/backup/，但每条路径需单独设置用户名密码 - 如果站点启用了强制 HTTPS，这条规则会自动写入 443 端口的 server 块——这是宝塔做得对的地方，不用手动切块
为什么填了密码却没弹窗？常见失效原因
最常遇到的是“配置保存了但没生效”，本质是请求根本没走到认证逻辑里。
- 没点【重载配置】：宝塔只保存 conf 文件，不重载 Nginx，改动等于没写
- 路径大小写错误：
/Admin/≠/admin/，Nginx 默认区分大小写 - 反向代理干扰：如果你把
/admin/代理给了后端（比如 Node.js），auth_basic必须放在location /admin/ { ... proxy_pass ... }块内部，而不是外面——否则认证在代理前就被跳过 - 浏览器缓存凭据：换 Chrome 无痕窗口测试，或访问
chrome://settings/clearBrowserData清掉「密码和表单数据」
账号密码明文存在哪？要不要担心泄露
宝塔生成的凭证不存数据库，而是写进两个地方：
- 密码哈希存在
/www/wwwroot/your-site/.htpasswd（Nginx/Apache 共用） - 用户名和明文密码（仅用于显示）存在站点配置文件里，路径类似
/www/server/panel/vhost/nginx/your-site.conf - 只要服务器没被入侵，.htpasswd 文件权限是
644、属主是www:www，就足够安全 - 别用弱口令：Nginx 不校验强度，但暴力破解成本低，建议用至少 12 位含大小写字母+数字+符号的组合
真正容易被忽略的是 CDN 和 HTTP 重定向的组合陷阱：开了 Cloudflare 或又拍云，且没关「源站验证」，或者把 auth_basic 错写在 80 端口的 server 块里，用户就会被直接 301 跳走，连输密码的机会都没有。
