Nginx的HTTP Basic Auth密码文件可通过脚本+cron实现自动轮换：用htpasswd生成新密码、备份旧文件、设置权限后重载Nginx，需注意权限、原子性与服务连续性。
在 Nginx 中，HTTP Basic Auth 的密码文件（如 .htpasswd）本身不支持自动轮换，但可以通过外部脚本 + 定时任务（如 cron）实现定期更新。核心思路是：用 htpasswd 命令生成新密码文件，再让 Nginx 重载配置生效。整个过程需注意权限、原子性与服务连续性。
准备可执行的密码更新脚本
新建一个 Bash 脚本（例如 /usr/local/bin/rotate_htpasswd.sh），内容如下：
确保已安装 apache2-utils（含 htpasswd）或 httpd-tools（CentOS/RHEL）：
-
apt install apache2-utils（Debian/Ubuntu） -
yum install httpd-tools（CentOS 7）或dnf install httpd-tools（CentOS 8+/Fedora）
脚本示例（支持单用户更新，密码随机生成）：
#!/bin/bash
HTPASSWD="/etc/nginx/.htpasswd"
BACKUP_DIR="/etc/nginx/htpasswd_backups"
USER="admin"
<h1>创建备份目录</h1><p>mkdir -p "$BACKUP_DIR"</p><h1>备份旧文件（带时间戳）</h1><p>if [ -f "$HTPASSWD" ]; then
cp "$HTPASSWD" "$BACKUP_DIR/.htpasswd.$(date +\%Y\%m\%d\%H\%M\%S)"
fi</p><h1>生成 16 位随机密码（使用 /dev/urandom，兼容性好）</h1><p>NEW_PASS=$(tr -dc 'a-zA-Z0-9' < /dev/urandom | head -c 16)</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/xiazai/skill6848" title="Nginx Hosting"><img
src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/xiazai/skill6848" title="Nginx Hosting">Nginx Hosting</a>
<p>通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
</div>
<a href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><h1>写入新密码（-c 覆盖，-B 使用 bcrypt，更安全；若不支持 bcrypt，可用 -s 表示 SHA）</h1><p>htpasswd -B -c "$HTPASSWD" "$USER" <<< "$NEW_PASS"</p><h1>设置正确权限（Nginx 主进程需可读）</h1><p>chmod 644 "$HTPASSWD"
chown root:www-data "$HTPASSWD" # Debian/Ubuntu</p><h1>chown root:nginx "$HTPASSWD" # CentOS/RHEL</h1><h1>重载 Nginx（不中断连接）</h1><p>nginx -t && nginx -s reload
⚠️ 注意：htpasswd -c 会清空原文件，仅适用于单用户场景；多用户请改用 -i 或逐行追加 + 去重逻辑。
配置定时任务（cron）
以 root 权限编辑 crontab（sudo crontab -e），添加一行：
- 每月 1 日凌晨 2 点轮换：
0 2 1 * * /usr/local/bin/rotate_htpasswd.sh > /var/log/htpasswd_rotate.log 2>&1 - 每周日凌晨 3 点轮换：
0 3 * * 0 /usr/local/bin/rotate_htpasswd.sh > /var/log/htpasswd_rotate.log 2>&1
日志重定向便于排查失败（如权限错误、htpasswd 不在 PATH）。
增强安全性与可靠性
-
避免明文密码泄露：脚本中不记录密码，也不输出到日志；
htpasswd从 stdin 读取时，系统不会在进程列表中暴露密码 -
原子更新：先写临时文件再
mv替换，比直接覆盖更安全（本例用-c已足够，但高并发场景建议优化） -
通知机制：可在脚本末尾加邮件或 webhook 提醒（例如
echo "Password rotated for $USER" | mail -s "Nginx auth update" admin@example.com） -
审计追踪：记录每次轮换的用户名、时间、旧密码哈希（需解析
.htpasswd文件，谨慎操作）
验证与调试要点
- 手动运行脚本一次，检查
.htpasswd内容是否更新（cat /etc/nginx/.htpasswd应为user:$2y$...格式） - 确认 Nginx 能读取该文件：
sudo -u www-data cat /etc/nginx/.htpasswd（Debian） - 查看 Nginx 错误日志：
tail -f /var/log/nginx/error.log，确认 reload 成功且无 auth 相关报错 - 浏览器访问受保护路径，验证新密码是否生效（旧密码应立即失效）
不复杂但容易忽略细节，关键是权限对齐、命令路径正确、reload 前做语法检查。
