Nginx 如何密码保护网站目录

在今天的数字化环境中，确保Web应用程序和敏感数据的安全性至关重要。增加Web目录的安全性的一种有效方法是实现密码保护。通过设置密码保护，您可以限制仅授权用户访问并保护您的机密信息。

Nginx是一个流行的Web服务器和反向代理，它提供了强大的功能来保护Web目录。通过设置基本认证，您可以在用户访问您网站上的特定目录之前提示他们输入用户名和密码。

在本教程中，我们将带您了解在Nginx中密码保护网站目录的过程。我们将涵盖安装Apache Utils，创建密码文件以及配置Nginx服务器块来强制进行密码身份验证。此外，我们还将探讨高级选项，如IP限制和自定义错误页面。

先决条件

在我们深入探讨如何在Nginx中密码保护网站目录之前，您需要满足以下几个先决条件：

Nginx Web服务器 - 确保您已在服务器上安装并运行Nginx。如果您尚未安装Nginx，可以按照官方Nginx文档或操作系统提供的文档进行设置。
基本的Nginx配置知识 - 熟悉基本的Nginx配置概念，包括服务器块和指令。这将帮助您理解和修改必要的配置文件以启用密码保护。

一旦您满足了这些先决条件，就可以开始设置您的Web目录的密码保护。

设置基本认证

为了在Nginx中密码保护网站目录，您需要设置基本认证。这包括安装Apache Utils，创建密码文件以及配置Nginx服务器块。

安装Apache Utils

在我们开始之前，让我们确保已安装了必要的工具。Apache Utils提供了htpasswd实用程序，我们将使用它来生成密码哈希。

首先更新您系统的软件包管理器 –

sudo apt update

一旦更新完成，安装Apache Utils软件包 –

sudo apt install apache2-utils

安装了Apache Utils之后，我们可以开始创建密码文件。

创建密码文件

密码文件将存储用于身份验证的用户名和密码组合。我们将使用htpasswd实用程序为每个用户生成密码哈希值。

通过运行以下命令来创建新的密码文件或更新现有的密码文件-

sudo htpasswd -c /path/to/password/file username

将/path/to/password/file替换为您想要存储密码文件的路径，并用所需的用户名替换username。

您将被提示输入并确认用户的密码。实用程序将生成密码散列并将其添加到密码文件中。
注意 −如果您正在更新现有的密码文件，则省略-c标志以避免覆盖文件。

配置Nginx服务器块

现在我们已经准备好密码文件了，我们需要配置Nginx服务器块以启用所需Web目录的基本身份验证。

在文本编辑器中打开Nginx配置文件

sudo nano /etc/nginx/nginx.conf

找到对应于您想要保护的网站目录的服务器块。通常可以在服务器{…} 部分中找到。
在服务器块中，在位置/ {…} 块中添加以下指令。

location / {
   auth_basic "Restricted Access";
   auth_basic_user_file /path/to/password/file;
}

将/path/to/password/file替换为先前创建的密码文件的实际路径。

auth_basic指令设置认证领域，在提示凭证时将向用户显示。请随意自定义领域以适应您的应用程序。

保存配置文件并退出文本编辑器。
要应用更改，请重新启动Nginx服务。

sudo service nginx restart

设置基本认证后，Nginx将在访问受保护的网页目录时提示用户输入用户名和密码。请确保通过在Web浏览器中访问网站并输入适当的凭据来测试认证。

高级认证配置

除了基本认证外，Nginx还提供了高级认证机制，提供了更灵活和可控制对Web目录的访问的方法。让我们探索两种常用的方法：使用自定义登录页面和与外部认证服务器集成。

使用自定义登录页面

使用自定义登录页面，您可以通过设计一个适合您应用品牌的登录页，创建一个更用户友好的认证体验。这种方法涉及配置Nginx将未经授权的用户重定向到登录页面，并验证他们的凭证。

创建一个登录页面 - 设计一个HTML登录表单并将其保存为login.html在您要保护的目录中。
更新Nginx配置 - 修改对应于受保护目录的服务器块，并添加以下指令。

location / {
   error_page 401 =200 /login.html;
   auth_request /auth;
   auth_request_set  $auth_status$ upstream_status;
   error_page 403 =200 /login.html;
}

location = /auth {
   internal;
   proxy_pass http://localhost:8000/auth;  # Replace with your authentication script endpoint
   proxy_pass_request_body off;
   proxy_set_header Content-Length "";
   proxy_set_header X-Original-URI $request_uri;
}

这个配置设置了一个自定义的登录页面在/login.html，并指定了身份认证脚本的端点。

实现身份认证脚本 －开发一种您选择的语言（如PHP、Python）的脚本来处理身份认证逻辑。该脚本应验证用户的凭据并返回适当的响应代码（成功为200，未经授权为401）。
测试自定义的登录表单 －在网络浏览器中访问受保护的目录。Nginx将重定向您到自定义的登录表单。输入有效的凭据并验证访问是否已授权。

与外部身份认证服务器集成

如果您有一个现有的身份认证服务器，您可以将其与Nginx集成以处理用户身份认证。这种方法允许集中式用户管理和认证，易于在多个应用程序中维护和扩展身份认证。

将Nginx配置为反向代理 －设置Nginx作为反向代理，将身份认证请求转发到外部身份认证服务器。
更新Nginx配置 －修改受保护目录的服务器块，并添加以下指令。

location / {
   proxy_pass http://auth-server;
   proxy_set_header Host  $host; proxy_set_header X-Real-IP$ remote_addr;
   proxy_set_header X-Forwarded-For  $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto$ scheme;
   proxy_set_header X-Original-URI $request_uri;
}

将http://auth-server替换为您外部认证服务器的URL。