Nginx中通过auth_basic实现HTTP基础认证，需在server或location块配置auth_basic和auth_basic_user_file指令，用htpasswd生成bcrypt加密密码文件并设640权限，且必须启用HTTPS防止凭据明文泄露。
在测试环境或内网系统中部署 Nginx HTTP 基本认证，核心目标是快速、轻量、安全地限制访问，不依赖后端逻辑。这类场景天然适合 auth_basic——它开箱即用、配置简洁，且内网环境下 HTTPS 可简化部署（如自签证书），避免公网证书成本和复杂性。
明确保护范围：只对特定路径或站点启用
不要全局开启，避免误锁静态资源或健康检查接口。典型做法是限定到管理后台、监控页面、测试入口等敏感位置：
- 保护整个子域名：如
admin.intranet.local，在对应server块中配置 - 保护指定路径：如
/monitor/、/api/debug、/test-panel，用location精确匹配 - 避免放在
http或顶层server块里，防止影响 favicon、CSS、JS 等公共资源
生成并管理密码文件：推荐 bcrypt，路径必须安全
密码文件不能放在网站根目录下，也不能被 Web 服务直接读取（如通过 http://xxx/.htpasswd 下载）。建议统一放在 /etc/nginx/auth/ 或 /usr/local/nginx/conf/auth/：
- 安装工具：
yum install httpd-tools -y（CentOS/RHEL）或apt install apache2-utils -y（Debian/Ubuntu） - 创建首个用户（bcrypt 加密，安全性高）：
htpasswd -B -c /etc/nginx/auth/admin.pwd admin - 追加用户（去掉
-c）：htpasswd -B /etc/nginx/auth/admin.pwd ops - 设置权限：
chown root:www-data /etc/nginx/auth/admin.pwd && chmod 640 /etc/nginx/auth/admin.pwd，确保只有 Nginx worker 进程可读
配置 Nginx 并强制 HTTPS（内网也建议）
即使在内网，也应启用 HTTPS。基础认证凭据以 Base64 编码传输，明文 HTTP 下极易被嗅探。内网可用自签名证书，配合客户端信任根证书即可：
- 在
server块中同时监听 80 和 443，将 80 自动跳转至 HTTPS：return 301 https://$host$request_uri; - HTTPS server 中启用认证：
auth_basic "Internal Access Required";auth_basic_user_file /etc/nginx/auth/admin.pwd; - 若使用自签证书，需在客户端（如员工浏览器）导入 CA 根证书，消除“不安全”警告
验证与排错要点
部署后常见问题集中在路径、权限和缓存上：
- 先执行
nginx -t检查语法，再nginx -s reload生效 - 查看错误日志：
tail -f /var/log/nginx/error.log，重点找open() "/path/.htpasswd" failed类报错 - 浏览器可能缓存了失败的凭据，导致反复弹窗：换无痕窗口测试，或在 Chrome 地址栏输入
chrome://settings/clearBrowserData→ 勾选“密码和表单数据” - 确认请求路径是否真实匹配 location —— 比如配置了
location /admin/，但访问的是/admin（无尾斜杠），则不会触发认证
