PHP Basic Auth异常：/donation路径未被正确排除求助

你的问题核心是PHP实现的Basic Auth排除规则失效，以下是具体原因分析和修复方案：

可能的核心原因 #

1. 请求路径判断逻辑漏洞
   • 未处理请求路径的查询字符串（如/donation?foo=bar），直接用$_SERVER['REQUEST_URI']判断时，若你的判断条件是严格等于/donation，会因为额外参数导致匹配失败。
   • 未考虑路径大小写（如/Donation），或末尾斜杠（如/donation/）的差异，导致判断逻辑不生效。
2. 代码执行顺序错误
   认证代码写在了路径判断逻辑之前，导致无论路径是否匹配/donation，都会先触发认证流程。
3. 服务器重写影响
   若开启了URL重写（如所有请求指向index.php），$_SERVER['REQUEST_URI']可能被改写为重写后的路径，而非原始请求路径。

修复步骤与代码示例 #

1. 修正路径判断逻辑 #

先提取纯路径（去掉查询字符串），再判断是否以/donation开头：

// 获取原始请求路径，剥离查询字符串
$requestPath = strtok($_SERVER['REQUEST_URI'], '?');

// 兼容PHP版本，判断路径是否以/donation开头（忽略大小写可选）
if (strpos(strtolower($requestPath), '/donation') === 0) {
    // 跳过认证，直接执行后续业务逻辑
    goto skip_auth; // 或用return/exit，根据脚本结构调整
}

// Basic Auth认证逻辑
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) {
    header('WWW-Authenticate: Basic realm="Restricted Area"');
    header('HTTP/1.0 401 Unauthorized');
    echo '请输入认证信息';
    exit;
}

// 验证用户名密码
if ($_SERVER['PHP_AUTH_USER'] !== '指定用户名' || $_SERVER['PHP_AUTH_PW'] !== '指定密码') {
    header('WWW-Authenticate: Basic realm="Restricted Area"');
    header('HTTP/1.0 401 Unauthorized');
    echo '认证失败';
    exit;
}

skip_auth:
// 后续业务代码

2. 排查服务器重写影响 #

若使用了URL重写，可尝试用$_SERVER['REDIRECT_REQUEST_URI']获取原始请求路径替换$_SERVER['REQUEST_URI']。

3. 补充：可行的.htaccess配置方案 #

如果仍想尝试用.htaccess实现，可使用以下规则（注意替换.htpasswd绝对路径）：

# 标记/donation开头的请求无需认证
SetEnvIf Request_URI ^/donation NO_AUTH=1

# 配置Basic Auth
AuthType Basic
AuthName "Restricted Area"
AuthUserFile /你的网站根目录/.htpasswd
Require valid-user

# 跳过标记的请求
Order deny,allow
Deny from all
Allow from env=NO_AUTH
Satisfy any

内容的提问来源于stack exchange，提问作者Leoche