核心是防止未授权读取：.htpasswd文件权限须为640、属主为nginx或www-data，父目录权限不超750；否则等保测评或扫描工具将标记高危。

排查 Nginx 中账号密码文件（如 .htpasswd）权限配置不当引发的安全警告，核心是防止敏感认证凭据被未授权读取——这类文件一旦权限过宽，会被等保测评、安全扫描工具或日志审计系统直接标记为高危项。

确认密码文件真实路径与用途

先定位被警告的文件：它通常由 auth_basic_user_file 指令指定，例如：

location /admin {
  auth_basic "Admin Area";
  auth_basic_user_file /etc/nginx/.htpasswd;
}

检查该路径是否真实存在，并确认它确实是用于 HTTP Basic 认证。误将其他配置文件（如备份、临时生成的 .bak 文件）放在同一目录下，也可能被扫描器误判。

检查文件属主与权限是否符合最小权限原则

Nginx 进程只需“读取”该文件，无需写入或执行。理想状态是：

• 属主为 Nginx 运行用户（如 nginx 或 www-data），属组可为其同名组
• 权限严格限制为 640（即 rw-r-----）：所有者可读写，组用户可读，其他用户无任何权限
• 绝对禁止 644、604、755 等开放给“others”的权限

验证命令：

ls -l /etc/nginx/.htpasswd

若显示 -rw-r--r--（即 644），说明“others”可读，已触发安全警告；应立即修复：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

sudo chown nginx:nginx /etc/nginx/.htpasswd
sudo chmod 640 /etc/nginx/.htpasswd

检查父目录权限是否造成信息泄露风险

即使文件本身权限正确，若其所在目录权限宽松（如 755 或更松），攻击者可能列出目录内容，发现 .htpasswd 文件名，进而尝试暴力破解或利用其他漏洞读取。

建议父目录（如 /etc/nginx/）权限不超过 750，且属主为 root 或 nginx：

ls -ld /etc/nginx/
sudo chmod 750 /etc/nginx/
sudo chown root:nginx /etc/nginx/

这样既保证 Nginx 能进入目录读取文件，又阻止非授权用户遍历或猜测敏感文件名。

验证 Nginx 是否仍能正常认证

改完权限后，务必测试功能是否受影响：

• 用浏览器访问受保护路径，确认弹出认证框且凭据有效
• 查看错误日志：sudo tail -n 10 /var/log/nginx/error.log，确认无 open() "/etc/nginx/.htpasswd" failed (13: Permission denied) 类报错
• 模拟 Nginx 用户读取：sudo -u nginx cat /etc/nginx/.htpasswd，应成功输出，否则说明属主或权限仍有问题

不复杂但容易忽略