宝塔面板中用auth_basic给网站加密码需确保路径正确、重载配置且HTTPS对齐，推荐新手使用「访问限制」功能；手动编辑时须将auth_basic置于location^~/path/内，文件权限644，CDN需关闭源站验证。
宝塔面板里用 auth_basic 给网站加密码，本质就是让 Nginx 在请求到达 PHP 或静态文件前，先拦一下、弹个原生登录框。它不依赖程序逻辑，也不走数据库，但路径写错、没重载、HTTPS 没对齐，就完全不生效。
用「访问限制」功能快速加密子目录（推荐新手）
这是最不容易出错的方式，宝塔会自动处理 location ^~ /path/ 和 HTTPS 适配：
- 路径必须以斜杠开头，且保护整个子目录时，末尾一定要加斜杠——比如填
/admin/，不是/admin；否则/admin/login.php会被绕过 - 填完点【提交】只是保存配置，必须确认右上角弹出“重载成功”或手动点一次【重载配置】，否则 Nginx 根本不读新规则
- 如果站点开了强制 HTTPS，这条规则会自动写进监听 443 的
server块里；但如果只配在 HTTP（80 端口）块里，用户访问https://时根本看不到密码框——因为早被 301 跳走了 - 测试务必用无痕窗口，Chrome/Firefox 会缓存凭据，改了密码也不弹框，容易误判失败
手动编辑 Nginx 配置实现精细控制
当你需要自定义提示文字、保护多个不连续路径、或和反向代理共存时，就得自己写 location 块：
- 不要把
auth_basic写在server块顶层，必须包在具体location ^~ /xxx/里；否则可能被更宽泛的location /覆盖，或在代理转发后失效 - 用
^~前缀而非~或/xxx/，前者是前缀匹配且优先级最高，避免正则规则干扰 -
auth_basic_user_file指向的.htpasswd文件权限必须是644，属主为www:www；Nginx ≥ 1.19 才原生支持 bcrypt，旧版建议用htpasswd -b -c -m /path/.htpasswd user pass强制 MD5 - 如果同时用了 CDN（如 Cloudflare），要关掉「源站验证」和「缓存 401 响应」，否则用户永远卡在弹窗
为什么填了密码还是直接放行？常见失效原因
这不是密码错了，而是认证根本没触发。最常踩的坑集中在三处：
- 路径大小写不一致：
/Private/≠/private/，Nginx 默认区分大小写 - 配置只点了【保存】没点【重载配置】——宝塔不会自动重载，改动等于白写
- 站点启用了「禁止访问」和「加密访问」同一路径，宝塔会静默忽略后者，界面也不报错
- 反向代理场景下，
auth_basic放在location /外层，导致认证发生在代理之前，而真实后端已跳过校验
真正麻烦的从来不是加密码，而是改完之后不知道它到底有没有生效。最稳的验证方式：开无痕窗口 → 直接访问带斜杠的完整路径（如 https://site.com/admin/）→ 看是否弹系统级认证框。不弹？立刻去 /www/server/panel/vhost/nginx/ 下对应 conf 文件里搜 auth_basic，确认位置、拼写、是否被注释，再检查重载日志。
