Nginx HTTP基本认证怎么结合 satisfy 指令实现IP与密码混合认证-Nginx-PHP中文网

nginx中实现“白名单ip免密、其他ip需密码”须用satisfy any：先配置allow指定可信ip（如192.168.1.0/24、203.0.113.5），后接deny all兜底；再同级启用auth_basic与auth_basic_user_file，且所有指令必须共存于同一location块内。

nginx http基本认证怎么结合 satisfy 指令实现ip与密码混合认证

Nginx 的 HTTP 基本认证（auth_basic）和 IP 访问控制（allow/deny）默认是“或”关系：满足任一条件就放行。要实现真正意义上的混合认证逻辑——比如「仅白名单 IP 免密，其余 IP 必须输密码」或「IP 和密码二者缺一不可」——关键就在 satisfy 指令的显式配置。

明确你要的逻辑类型

先确认目标场景，再选 satisfy 值：

satisfy any：适用于「白名单 IP 免密，其他 IP 需密码」——IP 允许或密码正确，任一成立即通过
satisfy all：适用于「必须同时满足 IP 白名单 + 正确密码」——双因子强制校验，缺一不可

satisfy any：白名单免密，其余需认证

这是最常用、也最符合运维直觉的配置。核心是让 IP 白名单和密码认证成为两条并行的“通关路径”：

在同一个 location 块中，同时写入 allow、deny all 和 auth_basic 指令
显式添加 satisfy any;（不能依赖默认，因为某些旧版本或嵌套上下文可能行为不一致）
deny all; 必须放在所有 allow 之后，否则前面的 allow 不生效

示例（/admin/ 路径）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

location /admin/ {
    satisfy any;
    allow 192.168.1.0/24;
    allow 203.0.113.5;
    deny all;
    auth_basic "Admin Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
}

satisfy all：IP + 密码双重强制校验

这种模式常用于高敏感接口，要求访问者既来自可信网络，又通过身份核验：

同样在 location 中配置 allow/deny 和 auth_basic
显式写 satisfy all;，告诉 Nginx 所有启用的访问控制模块都必须通过
deny all; 仍不可少——它是 satisfy all 生效的前提；若无 deny，Nginx 可能退化为无条件放行

示例（仅允许内网某段且输入指定账号才能访问）：

location /api/internal/ {
    satisfy all;
    allow 10.0.5.0/24;
    deny all;
    auth_basic "Internal API";
    auth_basic_user_file /etc/nginx/.htpasswd;
}