Amazon CloudFront与.htaccess/.htpasswd共存配置问题求助

你的核心需求是保留网站整体的.htaccess密码保护，同时让CloudFront能够正常访问资源而不被拦截，现有配置的问题大概率出在CloudFront的User-Agent匹配上，我来帮你修正并优化配置：

修正后的.htaccess配置 #

# 匹配CloudFront的请求（兼容官方标准User-Agent格式）
SetEnvIf User-Agent "Amazon CloudFront" cdn
# 若担心User-Agent有版本/格式变化，可改用更宽松的匹配规则：
# SetEnvIf User-Agent "^Amazon.*CloudFront$" cdn

# 保留默认401错误提示
ErrorDocument 401 default

# 密码保护基础配置
AuthName "Restricted Development Environment"
AuthUserFile /var/www/html/folder/.htpasswd
AuthType Basic
AuthGroupFile None

# 核心规则：允许合法用户 或 CloudFront请求访问
<RequireAny>
    Require valid-user
    Require env cdn
</RequireAny>

# 健康检查文件单独放行（确保CloudFront能正常检测源站状态）
<Files "healthcheckfile.html">
    Allow from all
    Satisfy Any
</Files>

关键修正点说明 #

1. User-Agent匹配修正：
   CloudFront官方的User-Agent字符串是Amazon CloudFront（注意CloudFront的首字母F为大写），你之前的配置写的是Amazon Cloudfront（小写f），这会导致匹配失败，CloudFront的请求无法触发cdn环境变量，自然会被密码拦截。如果担心未来User-Agent有版本变化，建议用宽松正则^Amazon.*CloudFront$，只要包含Amazon和CloudFront的请求都能匹配。

2. 逻辑确认：
   这个区块的逻辑完全符合你的需求——只要是登录的合法用户，或者带有cdn环境变量的请求（即CloudFront的请求），都能绕过密码验证，不会关闭整体的密码保护功能。

3. 健康检查文件的放行：
   确保CloudFront的健康检查路径指向你配置的healthcheckfile.html，这样CloudFront能正常检测源站状态，不会因为密码保护导致健康检查失败。

验证方法 #

• 本地直接访问网站：应该弹出密码验证窗口，输入正确的用户名密码才能访问。
• 通过CloudFront域名访问：直接加载资源，不会弹出密码窗口（可通过浏览器开发者工具查看请求的User-Agent是否包含Amazon CloudFront）。

如果仍有问题，可以尝试：

• 清除CloudFront的缓存（旧缓存可能带有之前的验证信息）。
• 检查源站服务器是否启用了mod_auth_basic、mod_setenvif模块（这两个模块是配置生效的前提）。

内容的提问来源于stack exchange，提问作者Manu