nginx 中需自定义 log_format 包含 $remote_user 并在 auth_basic 作用域启用，结合 401/403/200 状态码区分认证结果，强制 https 传输并严格管控 .htpasswd 权限与路径。
在 Nginx 中配置 auth_basic 并实现安全审计日志追踪，关键不是只加两行认证指令，而是把认证动作、用户身份、访问路径、时间、客户端 IP 全部落到日志里，并确保日志内容可区分成功/失败尝试。默认 access_log 不记录用户名，必须显式扩展日志格式并启用相关变量。
1. 扩展日志格式，捕获认证用户名
Nginx 的 $remote_user 变量在认证成功后自动填充用户名；认证失败时为空（但请求仍会进入日志）。需自定义 log_format 包含该字段：
- 在
http块顶部添加（或修改已有格式）：
log_format auth_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time'; - 在对应
server或location块中启用该格式：
access_log /var/log/nginx/auth_access.log auth_log; - 注意：
$remote_user仅对触发auth_basic的 location 生效，且仅在认证通过后有值；失败请求中此项为空，但日志仍保留，可用于识别爆破行为
2. 配置 auth_basic 并限定作用域
避免全局启用，优先保护敏感路径（如后台、API 管理接口），减少日志噪音：
- 在具体 location 中配置，例如：
location ^~ /admin/ {
auth_basic "Admin Area";
auth_basic_user_file /etc/nginx/.htpasswd;
access_log /var/log/nginx/admin_access.log auth_log;
} - 使用
^~前缀匹配，防止正则干扰，确保规则稳定生效 - 若需审计全部认证行为，可将
auth_basic放入server块，再用auth_basic off;在公开路径中关闭
3. 区分认证成功与失败，辅助审计分析
HTTP 状态码是核心线索：401 表示未认证或凭证缺失，403 表示认证失败（用户名存在但密码错误），200 表示成功登录。结合 $remote_user 和状态码即可构建基础审计视图：
- 典型日志片段示例：
192.168.5.100 - admin [09/Oct/2026:21:15:22 +0000] "GET /admin/ HTTP/2.0" 200 1245 "-" "Mozilla/5.0" 0.012
192.168.5.100 - - [09/Oct/2026:21:15:25 +0000] "GET /admin/ HTTP/2.0" 401 172 "-" "Mozilla/5.0" 0.001
192.168.5.100 - - [09/Oct/2026:21:15:28 +0000] "GET /admin/ HTTP/2.0" 403 172 "-" "Mozilla/5.0" 0.002 - 可用脚本定期提取
401/403请求，统计高频 IP 或错误用户名，识别暴力试探 - 不建议依赖
error_log追踪认证失败——Nginx 默认不将 basic auth 失败写入 error_log，它属于正常 HTTP 流程
4. 安全前提不可省略
日志再全，若传输不安全，审计就失去意义：
- 强制 HTTPS：Basic Auth 凭证仅 Base64 编码，无加密。HTTP 下等同明文，必须通过 TLS 传输
-
.htpasswd 权限严格：文件权限设为
640，属主root，属组www-data（或 nginx 运行组），禁止 world 可读 -
禁止 Web 可访问路径存放密码文件：确保
/etc/nginx/.htpasswd不在root /var/www/html等 Web 根目录下，防止被直接下载
