Apache基础HTTP认证取消登录后仍显示受保护页面问题（WordPress环境）

你遇到的问题根源其实在.htaccess里的Satisfy any指令逻辑上——这个指令的作用是只要满足Allow或者Require任一条件就允许访问。你当前的配置里Allow from all是全局生效的，所以即使用户点击取消认证（不满足Require valid-user），Allow from all的条件依然成立，直接导致受保护页面还是能被访问。

下面给你两种修正方案，选一种适合你环境的就行：

方案1：用精准匹配路径（推荐） #

这种方式逻辑最清晰，直接针对指定页面启用认证，不会和全局规则冲突，把这段代码放在WordPress默认Rewrite规则的前面：

# 对page1和page2启用Basic认证
<LocationMatch "^/page/(page1|page2)/$">
    AuthType Basic
    AuthName "Users zone"
    AuthUserFile "/path/to/passwd"
    Require valid-user
</LocationMatch>

# 以下是WordPress默认的Rewrite规则（如果你的.htaccess里已有，保留即可）
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]

方案2：修正SetEnvIf的逻辑（适配Apache 2.2） #

如果你坚持用SetEnvIF的方式，需要调整规则的逻辑顺序，确保只有非受保护页面才能绕过认证：

# 标记受保护页面的环境变量
SetEnvIf Request_URI "^/page/page1/$" PROTECTED
SetEnvIf Request_URI "^/page/page2/$" PROTECTED

# 先拒绝所有访问，再允许非受保护页面
Order deny,allow
Deny from all
Allow from env!PROTECTED

# 配置Basic认证
AuthType Basic
AuthName "Users zone"
AuthUserFile "/path/to/passwd"
Require valid-user

# 仅当Allow条件不满足时，要求通过认证
Satisfy any

额外注意事项 #

• 确保/path/to/passwd的文件路径是绝对路径，并且文件权限设置为640（让Apache能读取，但避免其他用户访问）。
• 如果你的WordPress固定链接是自定义结构，要确认Request_URI的匹配规则和实际页面URL一致，比如页面的实际URL是否带尾部斜杠。

内容的提问来源于stack exchange，提问作者Vagner Fonseca