使用 ngx_http_auth_basic_module 可为内部管理界面添加密码防护，无需修改程序或依赖数据库；核心是配置 auth_basic 和 auth_basic_user_file 指令，配合 htpasswd 生成加密密码文件，并在 location 块中精准启用认证。

用 ngx_http_auth_basic_module 给内部管理界面加一层密码防护，不需改程序、不依赖数据库，几行配置就能生效。核心就是两个指令：开启认证提示 + 指定密码文件。

确认模块已启用并准备密码文件

Nginx 大多数发行版默认已编译该模块，无需额外安装。重点是生成合规的密码文件：

• 推荐用 htpasswd 工具（来自 httpd-tools 包）生成加密密码，例如：
  htpasswd -c /etc/nginx/.htpasswd admin（首次创建时加 -c）
• 密码文件路径必须写绝对路径，且确保 Nginx 进程（如 www-data 或 nginx 用户）有读取权限（chmod 644 /etc/nginx/.htpasswd）
• 避免手写明文密码行（如 user:password），因不安全且部分版本不兼容；务必用 htpasswd 生成标准格式（含哈希）

在 location 块中精准启用认证

不要直接套在 server 级别，除非你想锁整个站点。保护后台路径（如 /admin/、/wp-admin/、/internal/）更合理：

• 使用前缀匹配 ^~ /admin/，避免正则干扰，优先级高且语义清晰
• 配置示例：
  

  location ^~ /admin/ {<br>  auth_basic "Admin Login Required";<br>  auth_basic_user_file /etc/nginx/.htpasswd;<br>}

• 提示文字（auth_basic 后的字符串）会显示在浏览器弹窗中，建议简洁明确，不含特殊符号

验证与常见问题处理

改完配置后必须检查语法并重载，不能只重启：

• 执行 nginx -t 确认配置无误，再运行 nginx -s reload
• 访问 https://yoursite.com/admin/，应立即弹出认证框；若无反应，检查 location 是否被其他规则覆盖（如 location / 内嵌套）、路径是否带尾斜杠（/admin 和 /admin/ 匹配不同）
• 若提示 500 或日志报“open() failed”，大概率是 auth_basic_user_file 路径错误或权限不足，用 ls -l /etc/nginx/.htpasswd 核对属主和读取权限

宝塔用户可跳过手动编辑

如果你用宝塔面板，无需碰配置文件：

• 进【网站】→【设置】→【网站目录】，开启【密码访问】，填入用户名和密码即可
• 宝塔会自动生成 .htpasswd 并写入对应 location 规则，适合快速启用、无定制需求的场景
• 如需保护非根目录下的子路径（如 /api/private），仍建议切到【配置文件】选项卡手动添加独立 location 块