宝塔面板网站目录密码保护需手动配置子目录及HTTPS下的auth_basic规则，并确保重载配置、算法兼容和权限正确。
宝塔面板里怎么给网站目录加密码保护
直接用 Nginx/Apache 的内置认证机制，宝塔只是图形化封装——本质是生成 .htpasswd 文件 + 修改对应站点的配置块。别点“网站目录加密”按钮就以为完事了，它默认只对根目录生效，子目录要手动加规则。
- 在宝塔「网站」→ 选中站点 → 「设置」→ 「网站目录」→ 勾选「密码访问」并填用户名/密码，宝塔会自动生成
/www/wwwroot/your-site/.htpasswd - 但该设置仅作用于该站点根目录（
/），如果想保护/admin/或/api/这类子路径，必须进「配置文件」手动添加location ^~ /admin/ { auth_basic ... }块 - Apache 环境下对应的是
.htaccess+.htpasswd，且需确保站点配置中启用了AllowOverride AuthConfig，否则 .htaccess 不生效
为什么填了密码还是能直接访问（401 不触发）
最常见原因是配置未重载或路径匹配失败。Nginx 的 auth_basic 必须放在能实际匹配到请求的 location 块里，且不能被更宽泛的 location / 覆盖或继承冲突。
- 检查宝塔是否提示「配置已保存」后点了「重载配置」——光保存不重载，改动完全不生效
- 如果用了反向代理（比如代理到 Node.js 后端），
auth_basic必须放在location内部，而不是 server 块顶层；否则认证在代理前就被跳过 - 浏览器可能缓存了认证凭据，换无痕窗口或清空
auth缓存再试（Chrome 地址栏输chrome://settings/clearBrowserData→ 勾选「密码和表单数据」）
宝塔生成的 .htpasswd 兼容性要注意什么
宝塔默认用 htpasswd -b -c 生成，算法是 bcrypt（v7.7+）或 SHA-1（旧版），但 Nginx 只认 crypt、apr1（MD5）、bcrypt 三种；Apache 则支持更多。混用环境时容易 403。
- 确认 Nginx 版本 ≥ 1.19 才原生支持 bcrypt，低版本会直接忽略认证或报错
invalid password format - 若用旧版 Nginx，改用
htpasswd -b -c -m /path/.htpasswd user pass强制 MD5（-m），再替换宝塔生成的文件 - 文件权限必须是
www:www（宝塔默认用户组），且不能是 777；644 即可，否则 Nginx 拒绝读取
HTTPS 下目录保护失效的隐藏原因
不是证书问题，而是 HTTP → HTTPS 重定向规则把认证头干掉了。当配置了强制 HTTPS，但 auth_basic 放在 HTTP server 块里，用户根本没机会输密码就跳走了。
- 认证配置必须写在 HTTPS 的
server块内（即监听 443 的那个），而不是 80 端口的重定向配置里 - 如果用了 CDN（如 Cloudflare），确保「源站验证」关闭，否则 CDN 可能提前终止 Basic Auth 流程
- 部分手机浏览器对跨域或混合内容下的 Basic Auth 表现异常，建议用 curl 测试：
curl -I -u user:pass https://yoursite.com/admin/看是否返回 200
location 嵌套或一次手动重载，就等于没设。 
