Traefik Basic Auth与RabbitMQ认证冲突：通过后重复要求认证

问题描述 #

我在使用Traefik Basic Auth保护RabbitMQ管理界面时遇到了冲突：通过Traefik的Basic Auth后，登录RabbitMQ管理界面，Traefik会再次弹出Basic Auth认证提示。我的Docker Compose配置如下：

rabbitmq:
  image: rabbitmq:3.11.28-management-alpine
  container_name: rabbitmq
  environment:
    - RABBITMQ_DEFAULT_USER=guest
    - RABBITMQ_DEFAULT_PASS=guest
  labels:
    - "traefik.enable=true"
    - "traefik.http.routers.rabbitmq.rule=Host(`rabbitmq.${SERVICE_DOMAIN}`)"
    - "traefik.http.routers.rabbitmq.entrypoints=web"
    - "traefik.http.services.rabbitmq.loadbalancer.server.port=15672"
    - "traefik.tcp.services.ingress.loadbalancer.server.port=5672"
    - "traefik.http.routers.rabbitmq.middlewares=auth-rabbitmq"
    - "traefik.http.middlewares.auth-rabbitmq.basicauth.users=${SERVICE_USER}"
    - "traefik.http.middlewares.auth-rabbitmq.basicauth.removeheader=true"
  networks:
    - proxy

我原本期望只需通过一次Traefik认证即可访问RabbitMQ管理界面，但实际登录RabbitMQ后会被Traefik再次要求认证。

原因分析 #

问题的核心是浏览器对同一域名只能保存一套Basic Auth凭证：

1. 先输入Traefik的Basic Auth账号密码，浏览器会将该凭证绑定到目标域名；
2. 登录RabbitMQ管理界面时，输入RabbitMQ的账号密码，浏览器会用这套新凭证覆盖之前保存的Traefik凭证；
3. 后续RabbitMQ管理界面发起的后台请求（如API、WebSocket）会携带RabbitMQ的凭证，Traefik验证失败，因此再次弹出认证提示。

另外，配置中traefik.tcp.services.ingress.loadbalancer.server.port=5672属于无效配置（未关联到任何TCP路由），可以删除以避免混淆。

解决方案 #

方案一：关闭RabbitMQ管理界面认证，仅用Traefik保护（推荐） #

如果你的场景不需要双层认证，直接关闭RabbitMQ管理界面的认证，只通过Traefik的Basic Auth保护访问：

1. 创建rabbitmq.conf配置文件，内容如下：

management.disable_auth = true

2. 修改Docker Compose配置，添加volume挂载该配置文件：

rabbitmq:
  image: rabbitmq:3.11.28-management-alpine
  container_name: rabbitmq
  environment:
    - RABBITMQ_DEFAULT_USER=guest
    - RABBITMQ_DEFAULT_PASS=guest
  volumes:
    - ./rabbitmq.conf:/etc/rabbitmq/rabbitmq.conf
  labels:
    - "traefik.enable=true"
    - "traefik.http.routers.rabbitmq.rule=Host(`rabbitmq.${SERVICE_DOMAIN}`)"
    - "traefik.http.routers.rabbitmq.entrypoints=web"
    - "traefik.http.services.rabbitmq.loadbalancer.server.port=15672"
    - "traefik.http.routers.rabbitmq.middlewares=auth-rabbitmq"
    - "traefik.http.middlewares.auth-rabbitmq.basicauth.users=${SERVICE_USER}"
    - "traefik.http.middlewares.auth-rabbitmq.basicauth.removeheader=true"
  networks:
    - proxy

这样用户只需通过一次Traefik的Basic Auth，就能直接进入RabbitMQ管理界面，不会再出现认证冲突。

方案二：使用非Basic Auth的Traefik认证方式 #

如果必须保留RabbitMQ的认证，可将Traefik的Basic Auth替换为Cookie-based认证（如forwardauth或Traefik的cookieauth中间件），避免和RabbitMQ的Basic Auth共用同一域名的凭证存储：

例如使用Traefik的forwardauth配合简单的认证服务，或者使用middlewares中的cookie和auth组合实现会话式认证，这样浏览器会用Cookie保存Traefik的认证状态，和RabbitMQ的Basic Auth凭证互不干扰。

内容的提问来源于stack exchange，提问作者System Life