Apache 基礎認證完整實作：htpasswd 建立、.htaccess 配置、效能考量與進階替代方案

適用場景

• 保護後台管理介面、測試環境、內部文件、API 端點
• 輕量級、無需資料庫、跨平台相容
• 不適用：高併發、頻繁帳號異動、SSO 整合、精細權限控制 (RBAC/ABAC)

步驟 1：建立受保護目錄

mkdir -p /var/www/html/protected
chown -R apache:apache /var/www/html/protected

步驟 2：修改 httpd.conf 啟用 AllowOverride AuthConfig

    Options Indexes FollowSymLinks
    AllowOverride AuthConfig
    Require all granted

關鍵：AllowOverride AuthConfig 允許 .htaccess 覆蓋認證設定。生產環境建議直接在 httpd.conf 或 vhost.conf 內配置 <Directory> 區塊，避免每次請求掃描 .htaccess 影響效能。

步驟 3：建立 .htaccess 定義認證規則

# /var/www/html/protected/.htaccess
AuthName "Internal Admin Area"
AuthType Basic
AuthUserFile /etc/httpd/.htpasswd_admin
Require valid-user
# 或限定用戶：Require user alice bob

步驟 4：建立密碼檔與帳號 (htpasswd)

# 首次建立 (-c 建立新檔)，使用 bcrypt (-B) 或 SHA256 (-s)
htpasswd -cB /etc/httpd/.htpasswd_admin alice
# 新增用戶 (不加 -c)
htpasswd -B /etc/httpd/.htpasswd_admin bob
# 修改密碼
htpasswd -B /etc/httpd/.htpasswd_admin alice
# 刪除用戶
htpasswd -D /etc/httpd/.htpasswd_admin bob
# 列出用戶
htpasswd -v /etc/httpd/.htpasswd_admin alice

安全建議：密碼檔置於 DocumentRoot 之外 (如 /etc/httpd/)，檔名以 .ht 開頭 (Apache 預設拒絕存取)。權限 640 root:apache。

步驟 5：重啟驗證

systemctl reload httpd
# 瀏覽器訪問 https://server/protected/ 應彈出基本認證對話框

進階：群組授權 (AuthGroupFile)

# /etc/httpd/groups
admins: alice bob charlie
developers: david eve

# .htaccess
AuthGroupFile /etc/httpd/groups
Require group admins

效能影響與優化

安全加固清單

• ✅ 全站強制 HTTPS (Basic Auth 明文傳輸 Base64 易竊聽)
• ✅ 密碼複雜度策略 (長度 ≥ 12、混合字元、定期輪換)
• ✅ 失敗嘗試限制：mod_evasive / fail2ban 監控 401 狀態碼
• ✅ 敏感目錄雙重保護：IP 白名單 + 基礎認證
• ✅ 定期審核帳號清單、移除離職/專案結束帳號

現代替代方案速查

• nginx：auth_basic + auth_basic_user_file (語法類似、效能更高)
• 應用層認證：JWT/OAuth2/OIDC (Keycloak/Auth0/Authelia) — 統一、可撤銷、支援 MFA
• 反向代理認證：Authelia/Traefik ForwardAuth/oauth2-proxy — 統一在入口驗證，後端零侵入

• 上一篇文章： 伺服器不穩/網站緩慢排查指南：資源爭用、盜鏈、濫用程式三大核心成因
• 下一篇文章： 機房搬遷全周期檢查清單：從 IP 規劃到上架配線的 11 項關鍵控制點

關於伺服器

Windows DNS 伺服器集中解析多域名實戰：逐一綁定法 vs 泛域名法完整比較

伺服器重裝後權限遺失與無法存取的解決方案

PC 技巧大課堂：磁碟陣列（RAID）組建與維護實戰——以 HighPoint 374 為例