使用.htaccess与.htpasswd保护wp-login.php失效求助

1. 核对.htaccess中块的语法 #

先确保代码格式完全正确，正确写法示例：

<Files wp-login.php>
    AuthType Basic
    AuthName "Private Login Area"
    AuthUserFile /服务器绝对路径/.htpasswd
    Require valid-user
</Files>

• 重点：AuthUserFile必须填服务器绝对路径，不能用相对路径（比如./.htpasswd）。可以通过WordPress后台「工具-站点健康-信息-服务器」查看「文档根目录」，再拼接你的.htpasswd路径，比如文档根目录是/var/www/html，那路径就是/var/www/html/.htpasswd
• 不要把这段代码放在# BEGIN WordPress和# END WordPress之间，这部分会被WordPress自动覆盖，要放在所有WordPress重写规则的最前面

2. 检查.htpasswd的权限和内容 #

• 文件权限设为644（权限太高比如777会被服务器拒绝读取）
• 内容格式必须是用户名:加密密码，可以用本地htpasswd命令生成：htpasswd -c .htpasswd 你的用户名，按提示输入密码即可；也可以用在线工具生成
• 确认文件名没有拼写错误，比如写成.htpassw这种

3. 确认服务器允许.htaccess覆盖配置 #

查看Apache的站点配置文件（比如httpd.conf或sites-available下的对应站点文件），确保你的博客目录的AllowOverride设置为All：

<Directory /var/www/html/你的博客目录>
    AllowOverride All
</Directory>

修改后重启Apache服务：sudo systemctl restart apache2

4. 排查重写规则冲突 #

有些WordPress配置会通过重写规则改变wp-login.php的请求路径，你可以直接访问http://你的域名/wp-login.php?test=1，如果跳转到其他页面，说明重写规则影响了文件匹配，需要调整重写规则的优先级

5. 排查服务器端缓存 #

除了浏览器缓存，还要检查服务器端的缓存（比如Apache的mod_cache、CDN缓存），暂时关闭后再测试，也可以换不同设备访问验证

内容的提问来源于stack exchange，提问作者Newbie