Nginx HTTP基本认证不转义密码文件字符，因.htpasswd中密码为htpasswd生成的ASCII密文（如$apr1$...），Nginx仅按首冒号分割、原样比对；用户名禁用冒号和换行，密码原文可含任意字符，无需手动转义。
Nginx 的 HTTP 基本认证本身不涉及对密码文件中特殊字符的“转义”处理，因为密码文件（如 .htpasswd）的内容是纯文本格式：每行形如 username:encrypted_password，其中冒号 : 是分隔符，其余部分（尤其是加密后的密码段）完全由 htpasswd 工具生成并保持原样存储，Nginx 不解析、不解码、不转义该字段中的任何字符。
真正需要关注的，不是“密码文件里的特殊字符怎么转义”，而是：
-
密码原文中含特殊字符时，是否会影响
htpasswd生成或使用？ - 用户名或密码原文含空格、冒号、换行等，能否安全使用？
- Nginx 读取
.htpasswd文件时，有无字符限制或解析风险？
以下是关键事实和实操建议：
用户名不能含冒号
:或换行符htpasswd工具要求用户名必须是单行、不含:（因:是用户名与密码的分隔符）。若强行写入含:的用户名（如user:name），会导致 Nginx 解析失败或匹配错误。空格、下划线、连字符、数字、字母均合法。密码原文可含任意字符（包括空格、
@、$、[、~等），无需手动转义htpasswd在生成加密串时，会将原始密码作为二进制输入交给哈希算法（如 APR1-MD5），输出的是 Base64 风格的 ASCII 字符串（如$apr1$...$...），该字符串本身只含字母、数字、$、/、.等安全字符，不会出现需转义的元字符。Nginx 读取时按整行切割，只认第一个:左右两侧内容，后续字符全部视为密码密文——不解释、不处理、不校验。.htpasswd文件本身应保存为 UTF-8 编码（无 BOM），且禁止含 Windows 换行符（CRLF）以外的控制字符
虽然 Nginx 不校验编码，但若用非 UTF-8 编辑器保存含中文用户名（不推荐），可能导致htpasswd生成异常或 Nginx 解析出错。稳妥做法：用户名坚持 ASCII，密码用强随机字符串（如openssl rand -base64 12生成），避免人为输入特殊符号。-
实际配置中唯一要注意的“转义”，只发生在 Nginx 配置文件语法层面
例如，若你在auth_basic提示语中写中文或引号：auth_basic "管理员区域（请勿外泄）";
这属于 Nginx 配置语法，需确保配置文件本身是 UTF-8 编码；若提示语含双引号，可用单引号包裹，或用反斜杠转义：
auth_basic "Welcome \"Admin\" Area";
-
验证是否生效，看三件事
-
cat /etc/nginx/.htpasswd输出是否每行严格为user:$apr1$xxx$yyy格式，无多余空格或空行 -
nginx -t能通过，说明配置语法无误 - 访问受保护路径，浏览器弹出登录框，输入正确凭据后返回 200，而非 401 循环或 500 错误
-
不需要、也不应该尝试在 .htpasswd 文件里手动修改密码字段、添加反斜杠、URL 编码或替换特殊字符——那只会破坏哈希值，导致认证永远失败。
