nginx可通过location块配置http basic auth实现浏览器原生登录验证，需三步：用htpasswd生成加密密码文件、在location中正确设置auth_basic指令、且必须启用https传输。
直接在 location 块里加两行配置，就能让访问该路径时弹出浏览器原生登录框——输入正确用户名密码才放行。核心就三件事：生成加密密码文件、写对配置、确保走 HTTPS。
生成安全的 .htpasswd 密码文件
密码不能明文存储，必须用 htpasswd 工具生成标准加密格式：
- Ubuntu/Debian：运行
sudo apt install apache2-utils - CentOS/RHEL：运行
sudo yum install httpd-tools或sudo dnf install httpd-tools - 首次创建文件并添加用户（如
admin）：sudo htpasswd -c /etc/nginx/.htpasswd admin，按提示输入密码 - 后续追加用户去掉
-c参数：sudo htpasswd /etc/nginx/.htpasswd user2 - 设好权限防越权：
sudo chown root:www-data /etc/nginx/.htpasswd && sudo chmod 640 /etc/nginx/.htpasswd
在 location 块中启用 auth_basic
推荐按路径精确控制，避免影响其他资源：
- 保护固定目录（如后台）用
^~前缀匹配，优先级高、不被正则干扰：location ^~ /admin/ {auth_basic "Admin Area";auth_basic_user_file /etc/nginx/.htpasswd;} - 只保护某个文件（如
/status）：location = /status {auth_basic "System Status";auth_basic_user_file /etc/nginx/.htpasswd;} - 提示文字（realm）只是弹窗标题，别写敏感信息，比如不要写“数据库管理员”
静态资源可单独放行（按需）
如果受保护路径下有无需认证的 CSS、JS 或图片，可以额外加一个更具体的 location 关闭认证：
- 例如放行
/admin/static/下所有资源：location ^~ /admin/static/ {auth_basic off;# 配置 root 或 alias 等静态服务指令} - 这个块位置不关键，只要匹配更精确（比如带
^~或=），Nginx 就会优先进入它
必须启用 HTTPS 才能真正安全
HTTP Basic Auth 的凭证是 Base64 编码后明文传输的，没有 TLS 加密等于把账号密码发到网上：
- 确认 server 块已监听 443 并启用 SSL：
listen 443 ssl; - 确保访问地址是
https://开头，不是http:// - 绝对不要在纯 HTTP 站点上启用
auth_basic - .htpasswd 文件不能放在 Web 根目录（如
/var/www/html）下，防止被直接下载
配置完记得验证再重载：sudo nginx -t 确认语法无误，再执行 sudo nginx -s reload 生效。
