云主机Nginx auth_basic认证失败返回403

# 检查Nginx进程用户
ps aux | grep nginx | grep -v grep
# 通常为 www-data / nginx / nobody

# 检查密码文件权限
ls -la /etc/nginx/.htpasswd
# 期望输出：-rw-r----- 1 root www-data ...

# 用Nginx运行用户测试可读性
sudo -u www-data cat /etc/nginx/.htpasswd
# 应能正常输出内容；若报Permission denied即为根因

# 修正所有权与权限
chown root:www-data /etc/nginx/.htpasswd
chmod 640 /etc/nginx/.htpasswd

# 确保父目录可被遍历（x权限）
chmod 755 /etc/nginx/

location /admin/ {
    deny all;                    # ← 所有请求在此被直接拒绝
    auth_basic "Admin Area";     # ← 永远不会被执行
    auth_basic_user_file /etc/nginx/.htpasswd;
}

location /admin/ {
    # 方案A：IP白名单 OR 密码认证，任一通过即可
    satisfy any;
    allow 10.8.0.0/24;
    allow 203.0.113.10;
    auth_basic "Admin Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
    deny all;

    # 方案B：IP白名单 AND 密码认证，两者都需通过
    # satisfy all;  （默认行为，可省略）
    # allow 10.8.0.0/24;
    # auth_basic "Admin Area";
    # auth_basic_user_file /etc/nginx/.htpasswd;
    # deny all;
}

username:$apr1$xyz123$hashvaluehere
admin:$2y$10$abcdefghijklmnopqrstuuABCDEFGHIJKLMNOPQRSTUVWXYZ012

# 使用apache2-utils生成标准格式密码
htpasswd -nbB admin 'MyStr0ng!Pass' >> /etc/nginx/.htpasswd

# 清除Windows换行符
sed -i 's/\r$//' /etc/nginx/.htpasswd

# 验证文件格式
cat -A /etc/nginx/.htpasswd
# 每行应以$结尾（Linux换行），不应出现^M（Windows回车）

# 检查SELinux是否处于enforcing模式
getenforce

# 查看审计日志中的拒绝记录
ausearch -m avc --recent | grep nginx

# 检查密码文件的SELinux上下文
ls -Z /etc/nginx/.htpasswd
# 期望：httpd_config_t 或 httpd_sys_content_t

# 设置正确的SELinux上下文
restorecon -v /etc/nginx/.htpasswd

# 或手动指定
chcon -t httpd_config_t /etc/nginx/.htpasswd

# 临时设为permissive模式验证是否为SELinux问题
setenforce 0
# 测试通过后务必恢复：setenforce 1

location /admin/ {
    auth_basic "Admin";
    auth_basic_user_file /etc/nginx/.htpasswd;

    location ~ \.php$ {
        fastcgi_pass unix:/run/php.sock;
        # ← 此子location继承了auth_basic，但如果这里加了deny all...
        deny all;  # ← PHP请求被直接拒绝，认证无效
    }
}

location /admin/ {
    auth_basic "Admin";
    auth_basic_user_file /etc/nginx/.htpasswd;

    location ~ \.php$ {
        # 子location中不要重复deny all
        # auth_basic会自动从父块继承
        fastcgi_pass unix:/run/php.sock;
        include fastcgi_params;
    }
}

步骤1: curl -v 确认状态码
  ├─ 返回401 → 认证模块正常工作，问题在凭证本身
  └─ 返回403 → 继续步骤2

步骤2: 检查error.log
  ├─ "open() ... failed (13: Permission denied)" → 根因一/四
  ├─ "no user/password was provided" + deny相关日志 → 根因二
  └─ 无相关错误 → 继续步骤3

步骤3: 临时注释deny all，重载Nginx
  ├─ 变为401 → 根因二（satisfy/allow/deny顺序问题）
  └─ 仍为403 → 继续步骤4

步骤4: 检查SELinux/AppArmor
  ├─ 有AVC拒绝记录 → 根因四
  └─ 无记录 → 继续步骤5

步骤5: 验证htpasswd文件格式
  ├─ 格式异常 → 根因三
  └─ 格式正常 → 检查嵌套location继承（根因五）

# ===== Nginx auth_basic 安全模板 =====
location ^~ /admin/ {
    # 双重验证：内网免密 OR 外网密码
    satisfy any;
    allow 10.8.0.0/24;
    allow 203.0.113.10;
    auth_basic "Restricted Admin Area";
    auth_basic_user_file /etc/nginx/.htpasswd_admin;
    deny all;

    # 独立审计日志
    access_log /var/log/nginx/admin_auth.log combined;

    # 防止缓存敏感页面
    add_header Cache-Control "no-store, no-cache, must-revalidate" always;

    # 正常业务处理
    try_files $uri $uri/ /admin/index.php?$query_string;
}