Basic Auth认证由浏览器缓存凭据，无服务端会话状态和登出接口；realm不同则凭据隔离；需通过无痕窗口、请求头Authorization字段、curl响应码及WWW-Authenticate头验证合规性。
auth_basic 的认证行为在浏览器端高度依赖缓存机制，测试时不能只看“能否登录”，而要重点观察凭据如何被存储、复用和清除。它的验证逻辑与常规 Web 登录完全不同——服务端没有会话状态，也不提供登出接口，一切由浏览器控制。
验证浏览器是否缓存了认证凭据
打开目标受保护路径（如 /admin/），输入正确用户名密码后成功进入。接着：
- 新开一个无痕窗口访问同一地址：应再次弹出登录框（无痕模式不共享凭据）
- 在同一普通标签页中，关闭当前页面再重新打开该 URL：通常不会再次弹窗，说明凭据仍被缓存
- 在开发者工具 Network 面板中查看任意一次后续请求的请求头，确认存在
Authorization: Basic xxx字段
检查 realm 是否影响凭据隔离
auth_basic 中的 realm 字符串是浏览器区分不同认证上下文的关键。若你配置了两个 location，分别使用不同 realm：
location /a/ { auth_basic "Area A"; auth_basic_user_file ...; }location /b/ { auth_basic "Area B"; auth_basic_user_file ...; }
那么即使用户名密码相同，登录 /a/ 后访问 /b/ 仍会弹窗——因为浏览器视其为两个独立域。可通过切换路径并观察是否重复弹窗来验证 realm 是否生效。
模拟“退出”并确认凭据已清除
Nginx 无法主动让浏览器丢弃凭据，所谓“退出”只能靠客户端操作：
- 手动清除浏览器的 HTTP 认证数据：Chrome 路径为 设置 → 隐私和安全 → 管理设备密码和表单数据 → 管理密码 → 搜索域名 → 删除对应条目；Firefox 在 设置 → 隐私与安全 → 保存的登录信息 → 查找并删除
- 关闭所有标签页再重启浏览器（部分浏览器在完全关闭后会清空临时凭据）
- 访问后观察是否重新弹窗，或检查请求头中
Authorization是否消失
用 curl 验证服务端响应是否符合规范
curl 不带凭据访问，确认返回标准 Basic Auth 响应：
-
curl -I https://your.site/admin/应返回401 Unauthorized，且响应头含WWW-Authenticate: Basic realm="Restricted Area" -
curl -u user:pass https://your.site/admin/应返回200 OK或预期内容 -
curl -u user:wrong https://your.site/admin/应仍返回401，不因错误尝试而锁定或跳转
