使用.htaccess/.htpasswd保护WordPress单页取消认证可访问问题

你当前配置失效的核心原因是FilesMatch规则仅匹配站点目录下真实存在的物理文件，但你要保护的3个信息屏页面是WordPress生成的伪静态固定链接，服务器上不存在对应命名的实体文件。
当你在Basic认证弹窗点击取消时，Apache对当前伪静态路径的文件匹配校验不通过，直接跳过FilesMatch块内的认证规则，将请求转给WordPress的rewrite逻辑，最终由index.php加载输出页面内容，就出现了点取消也能正常访问的问题。你在日志中看到的AH01797报错，是Apache尝试匹配不存在的物理文件时触发的提示，并非规则成功拦截了访问。
你之前修改WordPress默认RewriteRule、给规则套mod_authz_core.c标签的操作都是无效尝试，反而会破坏WordPress原生的路由逻辑，导致其他功能报错。

不要用FilesMatch做伪静态路径的访问控制，直接基于请求URI做匹配，把认证规则的优先级调到WordPress转发规则之前即可。

1. 先回滚所有错误修改：
   • 将WordPress默认的rewrite规则恢复为官方默认值，删除你之前改的RewriteRule ./ /index.php [L]写法
   • 删除你之前写的整段FilesMatch认证规则，以及包裹规则的<IfModule mod_authz_core.c>标签
2. 打开站点根目录的.htaccess文件，*在所有规则的最顶部（必须放在WordPress默认规则段之前）*加入如下配置：

# 信息屏页面访问认证
<LocationMatch "^/infoscreen-[a-zA-Z]+/?$">
AuthName "Dialog prompt"
AuthType Basic
AuthUserFile /home/hostfolder/hostname/.htpasswd
Require valid-user
</LocationMatch>

3. 找到WordPress默认生成的rewrite规则段，在段内第一行加一条授权头传递规则，避免PHP层面接收不到认证信息，修改后的完整WordPress规则段如下，其余原有逻辑保持不动：

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
# 传递Basic认证头给WordPress
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

• 规则顺序不能调换：认证匹配段必须放在WordPress默认规则的前面，否则请求会先被转发给index.php，导致认证逻辑直接失效
• 你当前使用的Order Deny,Allow、Deny from all、Satisfy any都是Apache 2.2版本的旧语法，在cPanel默认使用的Apache 2.4环境下不需要添加，混写反而会导致访问控制逻辑混乱
• 配置生效前先清理浏览器缓存、Kiosk设备的WebView缓存：测试时点击认证弹窗的取消按钮会直接返回401授权错误，不会加载页面内容；输入正确凭证后可正常访问页面，预约系统、门户首页等其他站点功能不会受影响
• 如果后续信息屏页面的固定链接需要加数字后缀，只需要把LocationMatch里正则的[a-zA-Z]修改为[a-zA-Z0-9-]即可，不会影响其他路径的访问
• 你之前已经确认过AuthUserFile路径正确，且站点存放在非public_html的子域名目录下，只要把.htaccess放在对应子域名的站点根目录即可，不需要调整文件路径。

内容的提问来源于stack exchange，提问作者FollaKY