nginx的http basic auth密码文件可通过脚本+cron实现自动轮换：用htpasswd生成新密码、备份旧文件、设置权限后重载nginx，需注意权限、原子性与服务连续性。

在 Nginx 中，HTTP Basic Auth 的密码文件（如 .htpasswd）本身不支持自动轮换，但可以通过外部脚本 + 定时任务（如 cron）实现定期更新。核心思路是：用 htpasswd 命令生成新密码文件，再让 Nginx 重载配置生效。整个过程需注意权限、原子性与服务连续性。

准备可执行的密码更新脚本

新建一个 Bash 脚本（例如 /usr/local/bin/rotate_htpasswd.sh），内容如下：

确保已安装 apache2-utils（含 htpasswd）或 httpd-tools（CentOS/RHEL）：

• apt install apache2-utils（Debian/Ubuntu）
• yum install httpd-tools（CentOS 7）或 dnf install httpd-tools（CentOS 8+/Fedora）

脚本示例（支持单用户更新，密码随机生成）：

#!/bin/bash
HTPASSWD="/etc/nginx/.htpasswd"
BACKUP_DIR="/etc/nginx/htpasswd_backups"
USER="admin"
<h1>创建备份目录</h1><p>mkdir -p "$BACKUP_DIR"</p><h1>备份旧文件（带时间戳）</h1><p>if [ -f "$HTPASSWD" ]; then
cp "$HTPASSWD" "$BACKUP_DIR/.htpasswd.$(date +\%Y\%m\%d\%H\%M\%S)"
fi</p><h1>生成 16 位随机密码（使用 /dev/urandom，兼容性好）</h1><p>NEW_PASS=$(tr -dc 'a-zA-Z0-9' </p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting"><img
														src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="overflowclass">Nginx Hosting</a>
													<p class="overflowclass">通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div><h1>写入新密码（-c 覆盖，-B 使用 bcrypt，更安全；若不支持 bcrypt，可用 -s 表示 SHA）</h1><p>htpasswd -B -c "$HTPASSWD" "$USER" </p><h1>设置正确权限（Nginx 主进程需可读）</h1><p>chmod 644 "$HTPASSWD"
chown root:www-data "$HTPASSWD"  # Debian/Ubuntu</p><h1>chown root:nginx "$HTPASSWD"    # CentOS/RHEL</h1><h1>重载 Nginx（不中断连接）</h1><p>nginx -t && nginx -s reload
</p>

⚠️ 注意：htpasswd -c 会清空原文件，仅适用于单用户场景；多用户请改用 -i 或逐行追加 + 去重逻辑。

配置定时任务（cron）

以 root 权限编辑 crontab（sudo crontab -e），添加一行：

• 每月 1 日凌晨 2 点轮换：0 2 1 * * /usr/local/bin/rotate_htpasswd.sh > /var/log/htpasswd_rotate.log 2>&1
• 每周日凌晨 3 点轮换：0 3 * * 0 /usr/local/bin/rotate_htpasswd.sh > /var/log/htpasswd_rotate.log 2>&1

日志重定向便于排查失败（如权限错误、htpasswd 不在 PATH）。

增强安全性与可靠性

• 避免明文密码泄露：脚本中不记录密码，也不输出到日志；htpasswd 从 stdin 读取时，系统不会在进程列表中暴露密码
• 原子更新：先写临时文件再 mv 替换，比直接覆盖更安全（本例用 -c 已足够，但高并发场景建议优化）
• 通知机制：可在脚本末尾加邮件或 webhook 提醒（例如 echo "Password rotated for $USER" | mail -s "Nginx auth update" admin@example.com）
• 审计追踪：记录每次轮换的用户名、时间、旧密码哈希（需解析 .htpasswd 文件，谨慎操作）

验证与调试要点

• 手动运行脚本一次，检查 .htpasswd 内容是否更新（cat /etc/nginx/.htpasswd 应为 user:$2y$... 格式）
• 确认 Nginx 能读取该文件：sudo -u www-data cat /etc/nginx/.htpasswd（Debian）
• 查看 Nginx 错误日志：tail -f /var/log/nginx/error.log，确认 reload 成功且无 auth 相关报错
• 浏览器访问受保护路径，验证新密码是否生效（旧密码应立即失效）

不复杂但容易忽略细节，关键是权限对齐、命令路径正确、reload 前做语法检查。