Nginx 默认不支持正向代理认证，因 CONNECT 请求不触发 auth_basic；需借助 ngx_http_proxy_connect_module 等扩展模块实现在隧道建立前鉴权，或改用反向代理模式启用基础认证。
Nginx 本身不原生支持正向代理（即客户端通过 Nginx 访问外部网站），但可通过 http_proxy 模块（如第三方模块 ngx_http_proxy_connect_module）或配合 stream 模块实现有限的正向代理功能。需要注意的是：标准 Nginx 的 auth_basic 指令仅适用于 HTTP 反向代理或静态资源访问控制，不能直接用于传统意义上的“正向代理连接建立阶段”的身份验证（例如 CONNECT 方法）。
为什么 auth_basic 在正向代理中不能直接生效
正向代理（尤其 HTTPS）依赖 CONNECT 请求建立隧道，该请求属于 HTTP/1.1 协议中的特殊方法，Nginx 默认不解析其请求体，也不触发常规的 HTTP 处理流程（如 location 匹配、auth_basic 验证）。因此：
-
auth_basic只对普通 GET/POST 等请求生效，对 CONNECT 请求无效 - 若未启用支持 CONNECT 的模块，Nginx 会直接拒绝 CONNECT 请求（返回 405 或 501）
- 即使配置了
auth_basic，用户仍可能绕过认证发起隧道连接
可行的身份验证方案（需扩展模块）
要实现带认证的正向代理，必须使用支持 CONNECT 方法并允许在连接建立前校验凭据的模块，主流选择是 ngx_http_proxy_connect_module：
- 编译时需显式启用该模块（官方 Nginx 不包含）
- 它在
CONNECT请求到达时触发自定义 handler，支持在 proxy_pass 前执行 auth_basic 或自定义鉴权逻辑 - 典型配置示例：
resolver 8.8.8.8;
server {
listen 3128;
# 启用 CONNECT 方法支持
proxy_connect;
proxy_connect_allow all;
proxy_connect_timeout 10s;
proxy_connect_read_timeout 10s;
proxy_connect_send_timeout 10s;
<pre class='brush:php;toolbar:false;'># 在 CONNECT 阶段启用基础认证（需模块支持）
auth_basic "Restricted Proxy";
auth_basic_user_file /etc/nginx/.htpasswd;}
替代方案：反向代理 + 客户端显式配置（更稳妥）
若无法编译定制模块，推荐改用反向代理模式，由客户端明确指定目标域名（非透明代理），此时 auth_basic 可完全生效：
- 客户端配置代理为
http://proxy.example.com:8080/，并发送普通 HTTP 请求（非 CONNECT） - Nginx 将请求作为反向代理转发到上游（需 rewrite 或 proxy_pass 动态处理 Host）
- 所有请求走标准 HTTP 流程，
auth_basic自然生效 - 局限：仅支持 HTTP，不支持 HTTPS 目标（因无法透传 TLS 隧道）
安全提醒与注意事项
即便实现认证，正向代理仍存在明显风险：
- HTTPS 流量虽经代理，但证书验证由客户端完成，代理无法解密或审计内容
-
.htpasswd文件需严格权限控制（如640，属主 root:nginx） - 建议结合 IP 限制（
allow/deny）、请求频率限制（limit_req）增强防护 - 生产环境应优先考虑专用代理软件（如 Squid），其对认证、ACL、日志更成熟
