只需在目标location块中添加auth_basic和auth_basic_user_file指令即可实现后台接口密码验证；需精确匹配路径如location = /admin/login或前缀匹配如location ^~ /manage/，避免泛匹配；密码文件用htpasswd生成并注意权限与作用域。

直接在对应 location 块里加 auth_basic 和 auth_basic_user_file，就能只对后台接口启用密码验证，不影响其他路径。

选准 location 路径，避免误锁

用精确或前缀匹配锁定目标接口，别用泛匹配：

• location = /admin/login —— 只锁这个完整路径
• location ^~ /manage/ —— 锁所有以 /manage/ 开头的请求（如 /manage/users、/manage/logs）
• 避免写 location /admin（末尾无斜杠），它会意外匹配到 /administer 或 /admin-api

配置密码验证指令

在目标 location 块内添加两行即可：

• auth_basic "请输入管理员账号密码"; —— 登录弹窗提示文字
• auth_basic_user_file /etc/nginx/auth_admin; —— 指向密码文件路径

密码文件需用 htpasswd 生成，例如：

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

htpasswd -c /etc/nginx/auth_admin admin

注意权限和生效范围

auth_basic 指令只在 http、server、location 和 limit_except 块中有效，且不能嵌套在 if 里。常见错误有：

• 把 auth_basic 写在 upstream 或配置最外层 —— 不生效
• 多个 location 共存时，只在目标块里加，其他路径（如 /static/、/health）保持开放
• 若已配置了 IP 白名单（allow/deny），认证发生在 IP 校验之后，用户先过 IP 关、再输密码

可选：配合 IP 限制双重防护

想更安全，可在同一 location 中叠加 IP 白名单：

• 先写 allow 192.168.10.0/24; 和 allow 203.0.113.50;
• 再写 deny all;
• 最后加 auth_basic 相关指令

这样只有内网或指定运维 IP 能看到登录框，外网直接 403，不给尝试机会。