可实现“白名单IP或头信息免密，其余强制认证”，核心是用map定义豁免变量（如$no_auth），再通过双location分支或auth_request模块动态控制auth_basic执行，避免在if中直接写auth_basic（不可靠）。
直接用 map 指令配合 HTTP 基本认证（auth_basic），可以实现“白名单 IP 或头信息免密，其余用户强制弹窗输入账号密码”的效果。核心不是绕过认证，而是让 Nginx 在执行 auth_basic 前，先判断是否属于豁免范围——若命中白名单，就跳过认证流程；否则正常触发。
用 map 定义免密标识变量
在 http 块中定义一个映射变量，根据真实客户端 IP（或请求头如 X-Forwarded-For、Authorization 等）判断是否应豁免认证：
- 推荐优先用
$remote_addr，但若前端有代理（如 CDN、LB），需先启用real_ip_module并配置set_real_ip_from和real_ip_header，确保$remote_addr是真实源 IP - 示例：只对内网运维段和特定 API 调用方免密
map $remote_addr $no_auth {
default 0;
192.168.10.0/24 1;
10.20.30.40 1;
172.16.0.0/12 1;
}
在 location 中条件性启用 auth_basic
Nginx 不支持直接 “if $no_auth = 0 then auth_basic”，但可通过变量控制 auth_basic 的作用域——把认证指令写在带条件的 location 分支里，或者用 auth_request 做更灵活的前置判断。更轻量稳妥的做法是：
- 将需要保护的路径拆出独立
location，并在其中用if判断豁免变量，再通过auth_basic指令的开关逻辑间接实现 - 关键技巧：Nginx 允许
auth_basic off显式关闭认证；配合if可动态生效（注意：if仅限简单判断，不可嵌套，且不能在if内写proxy_pass）
示例配置片段：
location /admin/ {
if ($no_auth = 1) {
# 白名单用户不触发认证
set $auth_off "off";
}
auth_basic $auth_off;
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://backend;
}
⚠️ 注意：auth_basic 不接受变量值（如 auth_basic $auth_off 实际无效）。真正可行的方式是：用两个并列 location，靠匹配顺序区分免密与需密路径，例如：
location /admin/ {
# 默认走认证
auth_basic "Restricted Access";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://backend;
}
location ~ ^/admin/.*$ {
if ($no_auth = 1) {
break;
}
auth_basic "Restricted Access";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://backend;
}
更推荐做法是使用 auth_request 模块对接一个极简鉴权 endpoint（如返回 200 表示放行，401 表示拒绝），这样逻辑清晰、可扩展性强，也避免 if 的局限性。
结合请求头做多维度免密（如 Token + IP）
若想支持“某 Token 或某 IP 任一满足即免密”，可用多个 map 分别校验，再用 if 合并判断：
- 定义
$valid_token：从$http_authorization或$http_x_api_key提取并比对固定值 - 定义
$trusted_ip：同上基于$remote_addr - 在 location 中组合判断：
if ($valid_token = 0 && $trusted_ip = 0) { auth_basic "Restricted"; }—— 但注意 Nginx 不允许在if中写auth_basic，所以仍需回归到双 location 或auth_request方案
实际生产中，建议统一走 auth_request /_auth，后端脚本（如 Python Flask 微服务）读取 $remote_addr 和请求头，按规则返回 200 或 401，既安全又易维护。
补充：避免常见陷阱
不要在 if 中写 auth_basic：语法虽不报错，但行为不可靠，Nginx 官方明确不推荐。
不要依赖未设置的请求头做判断：例如 $http_authorization 在未携带时为空字符串，不是未定义，可用 if ($http_authorization = "") 显式判断。
geo + map 组合更稳定：对纯 IP 白名单，优先用 geo 指令生成布尔变量（如 $is_internal），再用 map 转为可读标识，性能更高、语义更清晰。
