nginx 的 auth_basic 搭配 .htpasswd 是轻量可靠的后台路径登录保护方案：生成加密密码文件、在 location 中配置 auth_basic、确保权限与 https，兼顾简易性与安全性。
想给网站后台路径加一层简单但有效的登录保护，Nginx 的 auth_basic 搭配 .htpasswd 文件是最轻量、最可靠的方式之一。它不依赖后端语言，不增加应用逻辑负担，且能精准控制到具体 location 路径。
一、生成 .htpasswd 密码文件
这个文件存储用户名和加密后的密码，Nginx 会读取它来校验登录请求。别手写，用 htpasswd 工具生成（Apache 自带，或单独安装）：
- 安装（Ubuntu/Debian）：
sudo apt install apache2-utils - 创建新文件并添加用户（例如用户 admin）：
htpasswd -c /etc/nginx/.htpasswd admin，按提示输入密码 - 后续添加其他用户，去掉
-c（否则会覆盖）：htpasswd /etc/nginx/.htpasswd editor
生成的文件内容类似：admin:$apr1$abc123$XYZ...，每行一个用户，密码已加密，切勿明文存放。
二、在 Nginx 配置中启用 auth_basic
找到你站点对应的 server 块，在需要保护的 location 中加入认证配置。例如保护 /admin/ 和 /wp-admin/ 这类后台入口：
location ^~ /admin/ {
auth_basic "Admin Area";
auth_basic_user_file /etc/nginx/.htpasswd;
}
说明：
-
^~ /admin/表示前缀匹配，优先级高，适合路径保护 -
auth_basic "Admin Area"是弹窗显示的提示文字，可自定义 -
auth_basic_user_file必须写绝对路径，确保 Nginx 进程有读取权限（ls -l /etc/nginx/.htpasswd确认属主和权限，建议644，属主为root或www-data）
三、验证与常见问题处理
配置完成后重载 Nginx：sudo nginx -t && sudo systemctl reload nginx。访问 /admin/ 会弹出浏览器标准认证框。
- 如果提示 500 或日志报
open() "/etc/nginx/.htpasswd" failed (13: Permission denied)：检查文件权限和 SELinux（如启用）限制 - 如果输入正确账号密码仍被拒绝：确认用户名大小写、密码是否输错、.htpasswd 文件路径是否拼写准确、Nginx 是否以正确用户身份运行（
ps aux | grep nginx） - 想排除某些 IP（如内网运维机）免认证？可用
allow/deny配合satisfy any;实现白名单跳过
四、安全补充建议
基础认证只是第一道门，生产环境还需注意：
- 务必使用 HTTPS，否则账号密码在 HTTP 明文传输，极易被截获
- 避免将
.htpasswd放在网站根目录下（如/var/www/html/.htpasswd），防止被直接下载；推荐放在/etc/nginx/等非 Web 可访问路径 - 定期更新密码，禁用长期不用的账号
- 敏感后台（如数据库管理页 phpMyAdmin）强烈建议额外限制 IP 或改用更严格的认证方式（如 keycloak、JWT 网关）
