最直接有效的方式是用浏览器和命令行工具分步验证，确认认证是否真正生效、拦截是否严格：浏览器访问应弹出登录框并返回401，curl测试需验证http状态码、响应头及凭据解析，同时核对密码文件路径、格式与nginx配置一致性。
最直接有效的方式是用浏览器和命令行工具分步验证，确认认证是否真正生效、拦截是否严格。
浏览器访问测试
在浏览器中输入受保护路径（如 http://lee.timinglee.org/login/）：
- 若配置正确，页面不会加载内容，而是立即弹出系统级登录框，提示输入用户名和密码；
- 输入错误账号或密码，框体重复弹出，页面始终不显示（Nginx 返回 401 Unauthorized）；
- 输入正确凭据后，才能看到 index.html 中的内容（例如显示 “login”）；
- 关闭浏览器或清除认证缓存后重新访问，仍需再次输入——说明未持久化凭据，拦截机制持续有效。
curl 命令验证（推荐）
使用 curl 可绕过浏览器缓存，精准模拟请求头行为：
- 不带认证访问：
curl -I http://lee.timinglee.org/login/→ 应返回 HTTP/1.1 401 Unauthorized，且响应头含WWW-Authenticate: Basic realm="login password"； - 带正确凭证访问：
curl -u admin:lee http://lee.timinglee.org/login/→ 应返回 200 OK 及页面内容（如 “login”）； - 带错误密码访问：
curl -u admin:wrong http://lee.timinglee.org/login/→ 仍返回 401，无内容输出； - 可加
-v参数查看完整请求/响应过程，确认 Base64 编码的 Authorization 头是否生成、是否被 Nginx 正确解析。
检查密码文件与配置一致性
常见拦截失效多因配置偏差，建议快速核对：
- 确认
auth_basic_user_file路径是否绝对路径、文件是否存在、Nginx 进程是否有读取权限（如ls -l /usr/local/nginx/conf/.htpasswd）； - 确认密码文件格式为
用户名:$apr1$...加密串，且使用htpasswd -m生成（Nginx 默认只支持 MD5 或 bcrypt 格式）； - 确认
auth_basic指令未被子 location 中的auth_basic off覆盖； - 修改配置后执行
nginx -t检查语法，并nginx -s reload生效，避免配置未加载。
进阶验证：多用户与路径隔离
若已添加多个用户（如 admin、lee），可分别测试：
-
curl -u admin:lee ...和curl -u lee:lee ...都应成功； - 访问未启用认证的其他路径（如
/或/public），应无需认证即可访问，验证作用域未误设为全局； - 若配置了全局认证（放在 http 块），则所有路径都应触发弹窗，此时需检查是否遗漏
auth_basic off关闭例外路径。
