不建议在现代 Apache 环境中使用 mod_auth_digest，因其依赖已弃用的 RFC 2617 MD5 摘要认证，存在降级攻击、明文密码泄露、服务端哈希可重放等严重缺陷；Apache 2.4.19+ 默认禁用，且与 TLS 1.3 和 OpenSSL 1.1.1+ 不兼容，易触发 500 错误或静默失效；推荐强制 HTTPS + bcrypt 密码（htpasswd -B）或 JWT Token 替代。
不建议在现代 Apache 环境中使用 mod_auth_digest 来追求“更安全的摘要验证”。它名义上避免明文传密码，但实际安全性远低于预期，且已严重过时。
为什么 Digest 认证并不真正更安全
MD5 摘要认证（RFC 2617）在设计之初就存在根本缺陷：
- 中间人可强制浏览器降级到 Basic 认证，密码瞬间明文暴露
- 服务端存储的是
username:realm:password的 MD5 哈希值，一旦.htdigest文件泄露，攻击者可直接重放认证，无需破解 - MD5 算法极快，现代 GPU 几秒内就能暴力穷举常见密码
- RFC 7616（2015 年）已正式弃用该机制，Apache 2.4.19+ 默认禁用该模块
启用后常见失败原因
即使强行启用，也极易报错或静默失效：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
Invalid command 'AuthDigestProvider'：多数发行版（如 Debian/Ubuntu）编译时未包含--enable-auth-digest，模块根本不存在 -
digest: unknown algorithm 'MD5'：OpenSSL 1.1.1+ 或 FIPS 模式下，MD5 被系统级禁用 - 返回 500 错误或认证反复弹窗：常因
AuthDigestDomain与请求 Host 头不严格匹配，或 TLS 1.3 握手干扰 Digest 头传递
真正可行的安全替代方案
放弃修补过时协议，转向已被广泛验证的组合：
- 强制 HTTPS：所有流量走 TLS，让 Basic 认证也变成加密传输，消除明文风险
-
用
mod_authn_core+ bcrypt 密码文件：运行htpasswd -B /path/.htpasswd user生成强哈希，比.htdigest安全数个数量级 -
API 接口改用 Token：前端登录后获取短期 JWT 或 Bearer Token，后端用
mod_lua或 Nginx 校验，不依赖每次 HTTP 认证头计算 -
表单登录走完整会话：用
mod_session+mod_auth_form实现带 CSRF 保护的 Cookie 会话，而非把安全寄托在客户端 digest 运算上
如果仍需临时启用（仅限可控内网环境）
必须满足全部前提，否则无效：
- 确认模块已加载：
a2enmod auth_digest（Debian/Ubuntu）或检查httpd -M | grep auth_digest -
AuthDigestDomain必须精确匹配请求路径，例如保护/admin/就写AuthDigestDomain "/admin/"（尾部斜杠不可省） -
AuthName与htdigest创建时指定的 realm 字符串必须逐字一致 - 禁用
mod_auth_basic，否则 Apache 可能优先回退到 Basic
