HTTP基本认证弹窗由浏览器实现，Nginx仅返回标准401响应和WWW-Authenticate头；测试需用curl验证响应状态与头信息，并在Chrome、Firefox、Edge、Safari中确认原生弹窗触发、提示文字正确、错误重试及凭证缓存行为一致。
HTTP 基本认证的弹窗表现由浏览器自身实现，Nginx 不控制样式或交互逻辑，只负责返回标准的 401 Unauthorized 响应和 WWW-Authenticate 头。测试重点不是“看起来一不一样”，而是确认所有主流浏览器都按规范触发认证流程、不跳过、不缓存错误凭证、且对非法凭据有统一反馈。
用 curl 快速验证底层行为是否正常
绕过浏览器 UI，直接检查 Nginx 是否发出正确响应：
-
无凭据访问：执行
curl -I https://yourdomain.com/admin/，应返回HTTP/2 401和WWW-Authenticate: Basic realm="Admin Area Restricted" -
凭据正确：执行
curl -u user1:pass123 https://yourdomain.com/admin/，应返回200 OK及页面内容 -
凭据错误：执行
curl -u user1:wrongpass https://yourdomain.com/admin/，仍返回401，且响应头不变
手动测试主流浏览器的弹窗一致性
在 Chrome、Firefox、Edge（Chromium 内核）、Safari（macOS）中分别操作：
- 清空当前域名下的 HTTP 认证缓存（Chrome：地址栏输入
chrome://settings/clearBrowserData→ 勾选“密码和表单数据”；Firefox：设置 → 隐私与安全 → “清除历史记录” → 勾选“保存的登录信息”） - 直接访问
https://yourdomain.com/admin/，观察是否弹出原生对话框（非网页内弹窗），标题是否为auth_basic设置的提示文字（如 Admin Area Restricted） - 输入错误密码后点确定，确认是否再次弹出相同对话框（而非显示空白页或 401 错误页）
- 输入正确密码后，刷新页面，确认不再重复弹窗（浏览器已缓存凭证）
注意 Safari 和旧版 Edge 的特殊表现
Safari 对 Basic Auth 的处理更严格：
- 若服务器响应中
WWW-Authenticate头缺失引号（如写成Basic realm=Admin Area而非Basic realm="Admin Area"），Safari 可能完全不弹窗，静默返回 401 - 旧版 Edge（EdgeHTML）曾存在对 Base64 编码用户名含特殊字符（如 @ 或 /）解析失败的问题，建议用户名仅用字母数字
- 所有浏览器在 HTTPS 下才接受 Basic Auth；若误配成 HTTP，Chrome 和 Firefox 会直接阻止弹窗并报“不安全的认证请求”
避免被浏览器自动填充干扰判断
有些浏览器会预填上次成功登录的账号，掩盖真实流程：
- 测试时使用隐身/无痕窗口（Ctrl+Shift+N / Cmd+Shift+N）
- 或临时禁用密码管理器（Chrome 设置 → 自动填充 → 密码 → 关闭“提供保存密码”）
- 确保测试路径未被其他 location 规则提前拦截（例如静态资源规则放行了
/admin/static/，但误配成/admin/导致整个目录失效）
