Apache 2.4：能否实现子目录与父目录独立的身份认证？

我来帮你搞定这个头疼的Apache认证配置问题！你遇到的核心痛点是Apache的目录配置会自动继承父级规则，如果不主动覆盖，子目录会同时受父目录的认证约束，自然达不到“两套独立用户体系”的效果。

正确的配置写法 #

直接上能生效的配置，每一步我都会解释：

<Directory "/wwwroot/dir">
    Options Indexes SymLinksIfOwnerMatch
    AuthType Basic
    AuthName "Restricted Files"
    AuthBasicProvider file
    AuthUserFile /passwd/passwd.users
    AuthGroupFile /passwd/groups
    Require group some.People
</Directory>

<Directory "/wwwroot/dir/subdir">
    Options SymLinksIfOwnerMatch
    # 先重置认证类型（虽然和父级一样，但显式声明更稳妥）
    AuthType Basic
    # 用不同的AuthName，让浏览器识别为独立的认证域
    AuthName "Other Restricted Files"
    # 明确指定认证提供者，避免继承父级设置
    AuthBasicProvider file
    # 指向子目录专属的用户和组文件
    AuthUserFile /passwd/passwd.other.users
    AuthGroupFile /passwd/other.groups
    # 关键操作：先彻底取消父目录的继承规则
    Require all denied
    # 再设置子目录自己的访问要求
    Require group other.People
</Directory>

为什么你的原始配置失效？ #

你之前的配置没做Require all denied这一步，导致子目录同时受两个规则约束：

1. 父目录的Require group some.People会被继承，所以some.People的用户能直接访问子目录；
2. 子目录自己的认证规则又要求用户属于other.People，但此时Apache已经用父目录的凭证完成了认证，不会再弹出子目录的认证窗口，所以other.People的用户根本没机会输入自己的凭证。

关于你尝试的同AuthName配置的问题 #

你之前试过用相同AuthName共享用户文件的方案，之所以other.People用户无法访问子目录，是因为Apache会把父目录和子目录的Require规则叠加——它会要求用户同时满足父目录的some.People other.People和子目录的other.People，也就是用户必须同时属于两个组，这显然不是你想要的。如果要让这个场景生效，同样需要在子目录里先加Require all denied再设置自己的规则。

几个关键的注意点 #

• 权限检查：确保/passwd/下的用户和组文件权限正确，Apache进程要有读取权限，建议设置为640，并归属到Apache运行用户组（比如www-data）；
• 重启Apache：修改配置后一定要重启服务，不然新配置不会生效；
• 测试技巧：用浏览器隐私模式测试，避免缓存的旧认证凭证干扰结果。

内容的提问来源于stack exchange，提问作者Daniel