Nginx 中强制密码复杂度需从 bcrypt 加密生成（htpasswd -B -C 12）开始，配合 ^~ 精准路径匹配、HTTPS 强制、.htpasswd 严格权限（640）、静态资源放行及定期轮换等多层防护。
在 Nginx 中仅靠 auth_basic 指令本身无法强制密码复杂度，它只负责传输和校验——真正的“强密码策略”必须从密码文件生成环节开始控制，并配合权限、传输、生命周期等多层防护。核心是：用 bcrypt 加密 + 高 cost 值生成凭据，杜绝明文/弱哈希，再通过配置收紧访问边界。
用 htpasswd -B 生成 bcrypt 强密码文件
默认的 htpasswd 使用 MD5 或 apr1（弱哈希），必须显式启用 bcrypt 并设高迭代成本：
- 安装工具后，首次创建用户时加
-B（启用 bcrypt）和-C 12（指定 cost=12，远高于默认 5）：htpasswd -B -C 12 -c /etc/nginx/.htpasswd admin - 后续添加用户仍需
-B -C 12，避免混入低强度哈希：htpasswd -B -C 12 /etc/nginx/.htpasswd ops - 生成的 .htpasswd 文件每行形如：
admin:$2y$12$abc123...—— 开头$2y$表示 bcrypt，12是 cost 值，不可省略
限制作用域并精准匹配路径
避免认证被宽泛规则覆盖或误放行，提升策略执行确定性：
- 用
^~ /admin/而非location /admin或正则，确保前缀匹配优先级最高：location ^~ /admin/ { auth_basic "Admin Area"; auth_basic_user_file /etc/nginx/.htpasswd; } - 静态资源单独放行，防止因 CSS/JS 加载失败导致后台界面异常：
location ^~ /admin/static/ { auth_basic off; } - 若需保护多个独立路径（如
/api/internal和/backup），各自用^~块配置，不共用 location 块
切断明文泄露所有可能路径
强密码再好，一旦走 HTTP 或文件可被下载，就彻底失效：
- server 块必须监听
443 ssl，且只允许 HTTPS 访问该路径；HTTP server 中对应 location 应返回 403 或重定向：location ^~ /admin/ { return 403; } - .htpasswd 文件权限严格设为
640，属主root，属组为 Nginx 工作进程用户（如www-data或nginx）：chmod 640 /etc/nginx/.htpasswd && chown root:www-data /etc/nginx/.htpasswd - 绝对禁止将 .htpasswd 放在 Web 根目录（如
/var/www/html）下，Nginx 配置中也不得出现alias或root指向该文件所在目录
辅助加固：定期轮换与最小权限
策略不是一劳永逸，需配套运维习惯：
- 每 90 天轮换一次管理员账号密码，使用相同
htpasswd -B -C 12命令更新，旧密码自动失效 - 按角色建不同用户（如
admin、viewer），不共享账号；删除离职人员账户：htpasswd -D /etc/nginx/.htpasswd ex-employee - 如需 IP 白名单叠加，用
allow/deny放在 auth_basic 块内，但注意：IP 可伪造，仅作辅助
